Il ricercatore in sicurezza informatica Mohan Pedhapati (Mohan Pedhapati) ha raccontato, usando il modello di intelligenza artificiale Anthropic Claude Opus 4.6 ha scritto una catena completa di exploit per violare il motore JavaScript V8 nel browser Google Chrome 138, su cui si basa l'attuale client Discord.
Il processo di scrittura della catena di exploit ha richiesto una settimana, ha riferito il ricercatore: nel processo sono stati spesi 2,3 miliardi di token e $2283 per l'accesso al modello AI tramite API; ha anche dedicato sforzi personali, trascorrendo in totale 20 ore a risolvere problemi legati a situazioni di stallo. La somma spesa per la creazione dello schema di intrusione è notevole per un singolo, ha riconosciuto Mohan Pedhapati; d'altra parte, senza aiuti esterni, una persona lavorerebbe a un progetto simile per diverse settimane. Il progetto si è rivelato vantaggioso anche dal punto di vista economico: la ricompensa da Google e Discord per la segnalazione di un exploit di questo tipo potrebbe essere di circa $15.000. E questo è solo il mercato legale: per una vulnerabilità zero-day, i cybercriminali potrebbero pagare somme maggiori.
Molti servizi rilasciano le proprie applicazioni sul framework Electron, che a sua volta si basa su Chrome: lo fanno non solo in Discord, ma anche, ad esempio, in Slack. Solo che il codice attuale del framework è indietro di una versione rispetto al browser, e i sviluppatori delle applicazioni non sempre aggiornano rapidamente le dipendenze, e gli utenti non sempre installano le ultime versioni delle applicazioni. Il client Discord è stato scelto dall'autore dell'esperimento perché funziona su Chrome 138, cioè è indietro rispetto all'attuale versione del browser di nove versioni principali.
Qualsiasi programmatore principiante, afferma Mohan Pedhapati, con sufficiente pazienza e una chiave API per accedere al modello di IA è in grado di compromettere un software non aggiornato: «è una questione di tempo, non di probabilità». Inoltre, «ogni patch è, in sostanza, un indizio per un exploit», perché i progetti open source vengono sviluppati in modo trasparente, il che significa che le correzioni spesso risultano pubbliche nel codice prima ancora che venga rilasciata una nuova versione del programma nel suo insieme. Per proteggere le applicazioni da attacchi simili, l'esperto consiglia di prestare maggiore attenzione alle dipendenze e di apportare modifiche tempestive, così come di rilasciare patch di sicurezza automaticamente, affinché il software dell'utente non rimanga vulnerabile qualora l'aggiornamento venga semplicemente dimenticato. Infine, i progetti open source dovrebbero fare attenzione quando pubblicano informazioni dettagliate sulle vulnerabilità.
Fonte:
Fonte: 3dnews.ru
