Chatbot Anthropic Claude Opus kirjutas Google Chrome'i jaoks eksploitatsiooni hinnaga $2283

Küberturvalisuse uurija Mohan Pedhapati rääkis, kuidas kunstliku intelligentsi mudeli Anthropic Claude Opus 4.6 abil kirjutas ta täieliku eksploitide ahela Google Chrome'i 138-s, mis toetab praegust Discordi klienti.

Eksploitide ahela kirjutamine võttis nädala, teatas uurija — protsessi käigus kulus 2,3 miljardit tokenit ja $2283 juurdepääsuks AI-mudelile API kaudu; ta kulutas ka 20 tundi oma jõudude rakendamiseks, et lahendada tõrkeolukordi. Raha, mis kulus häkkimise skeemi loomisele, tundub ühe inimese jaoks märkimisväärne, tunnistab Mohan Pedhapati; teisalt, ilma välise abita töötaks inimene sarnase projektiga mitu nädalat. Projekt osutus kasumlikuks ka majanduslikus plaanis — Google'i ja Discordi preemia sellise eksploiidi teavitamise eest võib ulatuda umbes $15 000. Ja see on ainult legaalne turg — null-päeva haavatavuse eest oleks küberkurjategijad võinud maksta palju rohkem.

Paljud teenused väljastavad oma rakendused Electron-i raamistiku põhjal, mis omakorda põhineb Chromel — niimoodi teevad mitte ainult Discord, vaid näiteks ka Slack. Ainult et raamistiku praegune kood jääb ühe versiooni võrra brauserist maha, ja rakenduste arendajad ei uuenda sõltuvusi alati kiiresti, ka kasutajad ei installi alati kõige viimasemaid versioone. Discordi klient, mille autor valis, töötab Chrome 138 peal, mis tähendab, et see jääb praegusest brauseri versioonist maha üheksa suure versiooni võrra.

Iga algaja programmeerija, märkis Mohan Pedhapati, suudab piisava kannatlikkuse ja API võtmega, et pääseda AI-mudelile, häkkida uuendamata tarkvara — 'see on ajaküsimus, mitte tõenäosus'. Veelgi enam, 'iga plaastrite värskendus on sisuliselt vihje eksploitile', kuna avatud lähtekoodiga projektid arendatakse läbipaistvalt, mistõttu parandused on sageli avalikult koodis enne, kui uuendatud versioon tervikuna välja antakse. Et kaitsta rakendusi selliste rünnakute eest, soovitab ekspert jälgida sõltuvusi hoolikamalt ja kiiresti teha muudatusi, samuti välja anda turvaplikaid automaatselt, et kasutaja tarkvara ei jääks haavatavaks, kui värskendust lihtsalt unustatakse installida. Lõpuks peaksid avatud lähtekoodiga projektid olema ettevaatlikud haavatavuste detailide avaldamisel.

Allikas:

• The Register

Allikas: 3dnews.ru