Ricercatore di cybersecurity Mohan Pedhapati raccontato, ha utilizzato il modello di intelligenza artificiale Anthropic Claude Opus 4.6 per scrivere un’intera catena di exploit per compromettere il motore JavaScript V8 nel browser Google Chrome 138, su cui funziona l'attuale client di Discord.
Il processo di scrittura della catena di exploit ha richiesto una settimana, ha riferito il ricercatore — sono stati spesi 2,3 miliardi di token e 2283 dollari per l'accesso al modello di IA tramite API; ha anche impegnato sforzi personali, trascorrendo in totale 20 ore a risolvere problemi di stallo. La cifra spesa per la creazione dello schema di hacking appare considerevole per una persona singola, ha riconosciuto Mohan Pedhapati; d'altra parte, senza aiuti esterni, un individuo avrebbe impiegato diverse settimane su un progetto simile. Il progetto si è rivelato redditizio anche dal punto di vista economico — la ricompensa da Google e Discord per la segnalazione di tale exploit potrebbe ammontare a circa 15.000 dollari. E questo è solo il mercato legale — per una vulnerabilità zero-day, i criminali informatici potrebbero pagare somme maggiori.
Molti servizi rilasciano le proprie applicazioni sul framework Electron, che a sua volta si basa su Chrome; non solo Discord, ma anche, ad esempio, Slack, lo fanno. Tuttavia, il codice attuale del framework è indietro di una versione rispetto al browser, e gli sviluppatori delle applicazioni non sempre aggiornano rapidamente le dipendenze, oltre al fatto che gli utenti non installano sempre le ultime versioni delle applicazioni. Il client Discord scelto dall'autore funziona su Chrome 138, il che significa che è indietro rispetto alla versione attuale del browser di nove versioni principali.
Qualsiasi programmatore alle prime armi, secondo Mohan Pedhapati, con sufficiente pazienza e una chiave API per accedere al modello IA può compromettere software obsoleto: «è una questione di tempo, non di probabilità». Inoltre, «ogni patch è fondamentalmente un indizio per un exploit», poiché i progetti a codice aperto sono sviluppati in modo trasparente, il che significa che le correzioni sono spesso pubblicamente accessibili nel codice prima ancora che una versione aggiornata del programma venga rilasciata. Per proteggere le applicazioni da attacchi simili, l'esperto raccomanda di monitorare attentamente le dipendenze e di apportare modifiche tempestive, oltre a rilasciare automaticamente le patch di sicurezza, affinché il software dell'utente non rimanga vulnerabile se un aggiornamento viene semplicemente dimenticato. Infine, i progetti a codice aperto dovrebbero essere cauti nella pubblicazione di dettagli sulle vulnerabilità.
Fonte:
Fonte: 3dnews.ru
