Istraživač u području kibernetičke sigurnosti Mohan Pedhapati ispričao, kako je pomoću modela umjetne inteligencije Anthropic Claude Opus 4.6 napisao puni lanac eksploitacija za hakiranje JavaScript V8 motora u pregledniku Google Chrome 138, na kojem radi aktualni klijent Discord.
Proces pisanja lanca eksploitacija trajao je tjedan dana, izvijestio je istraživač — tijekom procesa potrošeno je 2,3 milijarde tokena i 2283 dolara za pristup AI modelu putem API-ja; također je uložio vlastite napore, ukupno provodeći 20 sati rješavajući probleme prepuštanja. Iznos koji je potrošen na izradu sheme hakiranja izgleda značajan za pojedinca, priznao je Mohan Pedhapati; s druge strane, bez vanjske pomoći, osoba bi radila na sličnom projektu nekoliko tjedana. Projekt se pokazao isplativim i u ekonomskom smislu — nagrada od Googlea i Discorda za prijavu takvog eksploit-a mogla bi iznositi oko 15 000 dolara. A to je samo legalno tržište — cyber kriminalci bi mogli platiti druge novce za ranjivost nultog dana.
Mnogi servisi izdaju svoje aplikacije na Electron frameworku, koji se, pak, temelji na Chromu — tako rade ne samo u Discordu, već i, na primjer, u Slacku. Međutim, aktualni kod frameworka zaostaje za preglednikom za jednu verziju, a programeri aplikacija ne ažuriraju uvijek zavisnosti pravovremeno, a ni korisnici ne instaliraju uvijek najnovije verzije aplikacija. Klijent Discorda autor iskustva odabrao je jer radi na Chromeu 138, što znači da zaostaje za trenutnom verzijom preglednika za devet glavnih verzija.
Svaki početni programer, kako navodi Mohan Pedhapati, uz dovoljno strpljenja i API ključa za pristup AI modelu može provaliti neaktualni softver – „to je pitanje vremena, a ne vjerovatnosti“. Štoviše, „svaka zakrpa je, u suštini, nagovještaj za eksploataciju“, jer se projekti s otvorenim izvorom razvijaju transparentno, što znači da su ispravke često javne u kodu čak i prije nego što je nova verzija programa objavljena. Kako bi se zaštitili od sličnih napada, stručnjak preporučuje pažljivo praćenje zavisnosti i brzo unosanje promjena, kao i automatsko objavljivanje sigurnosnih zakrpa kako bi korisnički softver ostao zaštićen ukoliko se ažuriranje jednostavno zaboravi instalirati. Na kraju, projektima s otvorenim izvorom savjetuje se oprez pri objavljivanju detaljnih podataka o ranjivostima.
Izvor:
Izvor: 3dnews.ru
