Küberjulgeoleku uurija Mohan Pedhapati rääkis, kuidas tehisintellekti mudeli Anthropic Claude Opus 4.6 abil kirjutati täielik eksploitide ahel JavaScripti V8 mootorile, mis töötab Google Chrome 138 brauseris, millega on seotud aktiivne Discordi klient.
Eksploitide ahela kirjutamine kestis nädal, teatas uurija — protsessi käigus kulus 2,3 miljardit tokenit ja 2283 dollarit juurdepääsu eest tehisintellekti mudelile läbi API; ta pani ka oma panuse, kulutades kokku 20 tundi takistuste lahendamisele. Summa, mille eest häkkimisskeem loodi, tundub üksikul inimesele märkimisväärne, tunnustas Mohan Pedhapati; teisest küljest, ilma välise abita, töötaks inimene sarnase projekti kallal mitu nädalat. Projekt oli ka rahaliselt kasumlik — Google'ilt ja Discordilt saadud hüvitis sellise eksploiidi teatamise eest võib ulatuda umbes 15 000 dollarini. Ja see on vaid seaduslik turg — null-päeva haavatavuse eest oleksid kübertöönikud valmis maksma muid summasid.
Paljud teenused lähtestavad oma rakendused Electroni raamistiku alusel, mis omakorda põhineb Chrome'il — nii tehakse mitte ainult Discordis, vaid näiteks ka Slackis. Kuid raamistiku praegune kood jääb ühe versiooni võrra taga brauserist ning rakenduste arendajad ei uuenda sõltuvusi alati kiiresti, ja ka kasutajad ei paigalda alati viimaseid rakenduste versioone. Discordi klient, mille valis uurija, töötab Chrome 138 peal, mis tähendab, et see jääb praegusest brauseri versioonist maha üheksa peamise versiooni võrra.
Iga algaja programmeerija, märkis Mohan Pedhapati, on piisava kannatlikkuse ja API võtmega suuteline häkkima ajakohastamata tarkvara — "see on aja küsimus, mitte tõenäosus". Veelgi enam, "iga plaastriga antakse põhimõtteliselt vihje ekspluateerimisele", kuna avatud lähtekoodiga projektid arendatakse läbipaistvalt, st parandused on sageli kergesti kättesaadavad koodis juba enne, kui uuendatud versioon üldse välja antakse. Selleks, et kaitsta rakendusi selliste rünnakute eest, soovitab ekspert hoolikalt jälgida sõltuvusi ja kiiresti teha muudatusi, samuti vabastada turvapaigad automaatselt, et kasutaja tarkvara ei jääks haavatavaks, kui uuendust lihtsalt unustatakse paigaldada. Lõpuks peaksid avatud lähtekoodiga projektid olema ettevaatlikud, kui avaldavad üksikasjalikke andmeid haavatavuste kohta.
Allikas:
Allikas: 3dnews.ru
