പ്രവർത്തനപരമായ ചൂഷണങ്ങൾ സൃഷ്ടിക്കാൻ കഴിവുള്ള ഒരു AI മോഡലായ ക്ലോഡ് മിത്തോസിനെ ആന്ത്രോപിക് പ്രഖ്യാപിച്ചു.

ആന്ത്രോപിക് ഗ്ലാസ്‌വിംഗ് പ്രോജക്റ്റ് പ്രഖ്യാപിച്ചു, ഇത് നിർണായക സോഫ്റ്റ്‌വെയറിന്റെ അപകടസാധ്യതകൾ തിരിച്ചറിയുന്നതിനും സുരക്ഷ മെച്ചപ്പെടുത്തുന്നതിനുമായി അതിന്റെ ക്ലോഡ് മിത്തോസ് AI മോഡലിന്റെ പ്രാഥമിക പതിപ്പിലേക്ക് ആക്‌സസ് നൽകും. ലിനക്സ് ഫൗണ്ടേഷൻ, ആമസോൺ വെബ് സർവീസസ്, ആപ്പിൾ, ബ്രോഡ്‌കോം, സിസ്‌കോ, ക്രൗഡ്‌സ്ട്രൈക്ക്, ഗൂഗിൾ, ജെപി മോർഗൻചേസ്, മൈക്രോസോഫ്റ്റ്, എൻവിഡിയ, പാലോ ആൾട്ടോ നെറ്റ്‌വർക്കുകൾ എന്നിവ പദ്ധതി പങ്കാളികളിൽ ഉൾപ്പെടുന്നു. ഏകദേശം 40 അധിക സ്ഥാപനങ്ങൾക്കും പങ്കെടുക്കാനുള്ള ക്ഷണങ്ങൾ ലഭിച്ചു.

ഫെബ്രുവരിയിൽ പുറത്തിറങ്ങിയ ക്ലോഡ് ഓപസ് 4.6 AI മോഡൽ, ദുർബലത കണ്ടെത്തൽ, ബഗ് കണ്ടെത്തലും പരിഹാരങ്ങളും, മാറ്റ അവലോകനം, കോഡ് ജനറേഷൻ തുടങ്ങിയ മേഖലകളിൽ പുതിയ തലത്തിലുള്ള പ്രകടനം കൈവരിച്ചു. ഈ AI മോഡലിലെ പരീക്ഷണങ്ങൾ ഓപ്പൺ സോഴ്‌സ് പ്രോജക്റ്റുകളിൽ 500-ലധികം ദുർബലതകൾ തിരിച്ചറിയാനും ലിനക്സ് കേർണൽ നിർമ്മിക്കാൻ കഴിവുള്ള ഒരു സി കംപൈലർ സൃഷ്ടിക്കാനും അനുവദിച്ചു. എന്നിരുന്നാലും, പ്രവർത്തിക്കുന്ന ചൂഷണങ്ങൾ സൃഷ്ടിക്കുന്നതിൽ ക്ലോഡ് ഓപസ് 4.6 മോശം പ്രകടനം കാഴ്ചവച്ചു.

ആന്ത്രോപിക് പറയുന്നതനുസരിച്ച്, അടുത്ത തലമുറയിലെ "ക്ലോഡ് മിത്തോസ്" മോഡൽ, ഉപയോഗിക്കാൻ തയ്യാറായ എക്സ്പ്ലോയിറ്റുകൾ നിർമ്മിക്കുന്നതിൽ ക്ലോഡ് ഓപസ് 4.6 നെ ഗണ്യമായി മറികടക്കുന്നു. ഫയർഫോക്സിന്റെ ജാവാസ്ക്രിപ്റ്റ് എഞ്ചിനിൽ തിരിച്ചറിഞ്ഞ ദുർബലതകൾക്കായി എക്സ്പ്ലോയിറ്റുകൾ സൃഷ്ടിക്കാനുള്ള നൂറുകണക്കിന് ശ്രമങ്ങളിൽ, ക്ലോഡ് ഓപസ് 4.6 ഉപയോഗിച്ച് രണ്ടെണ്ണം മാത്രമേ വിജയിച്ചുള്ളൂ. മിത്തോസ് മോഡലിന്റെ പ്രാഥമിക പതിപ്പ് ഉപയോഗിച്ച് പരീക്ഷണം ആവർത്തിക്കുമ്പോൾ, വർക്കിംഗ് എക്സ്പ്ലോയിറ്റുകൾ 181 തവണ സൃഷ്ടിക്കപ്പെട്ടു - വിജയ നിരക്ക് പൂജ്യത്തിൽ നിന്ന് 72.4% ആയി വർദ്ധിച്ചു.

കൂടാതെ, ക്ലോഡ് മിത്തോസ് അതിന്റെ ദുർബലതയും ബഗ് കണ്ടെത്തൽ കഴിവുകളും ഗണ്യമായി വികസിപ്പിക്കുന്നു. ഇത്, ചൂഷണ വികസനത്തിനുള്ള അതിന്റെ അനുയോജ്യതയുമായി സംയോജിപ്പിച്ച്, വ്യവസായത്തിന് പുതിയ അപകടസാധ്യതകൾ സൃഷ്ടിക്കുന്നു: പൊരുത്തപ്പെടുത്താത്ത സീറോ-ഡേ ദുർബലതകൾക്കുള്ള ചൂഷണങ്ങൾ പ്രൊഫഷണലുകൾ അല്ലാത്തവർക്ക് മണിക്കൂറുകൾക്കുള്ളിൽ സൃഷ്ടിക്കാൻ കഴിയും. മൈത്തോസ് ദുർബലത കണ്ടെത്തലും ചൂഷണ ശേഷിയും പ്രൊഫഷണൽ തലങ്ങളിൽ എത്തിയിട്ടുണ്ട്, ഏറ്റവും പരിചയസമ്പന്നരായ പ്രൊഫഷണലുകൾക്ക് മാത്രം ഇത് വളരെ കുറവാണ്.

അത്തരം കഴിവുകളുള്ള ഒരു AI മോഡലിലേക്ക് അനിയന്ത്രിതമായ ആക്‌സസ് തുറക്കുന്നതിന് വ്യവസായ തയ്യാറെടുപ്പ് ആവശ്യമുള്ളതിനാൽ, നിർണായക സോഫ്റ്റ്‌വെയർ ഉൽപ്പന്നങ്ങളിലും ഓപ്പൺ സോഴ്‌സ് സോഫ്റ്റ്‌വെയറിലും ദുർബലത തിരിച്ചറിയലും പാച്ചിംഗ് ജോലികളും നടത്തുന്നതിന് തിരഞ്ഞെടുത്ത വിദഗ്ധരുടെ ഒരു ഗ്രൂപ്പിന് തുടക്കത്തിൽ ഒരു പ്രാഥമിക പതിപ്പ് തുറക്കാൻ തീരുമാനിച്ചു. ഈ സംരംഭത്തിന് ധനസഹായം നൽകുന്നതിനായി, 100 മില്യൺ ഡോളർ ടോക്കൺ സബ്‌സിഡി അനുവദിച്ചിട്ടുണ്ട്, കൂടാതെ ഓപ്പൺ സോഴ്‌സ് പ്രോജക്റ്റുകളുടെ സുരക്ഷയെ പിന്തുണയ്ക്കുന്ന സംഘടനകൾക്ക് 4 മില്യൺ ഡോളർ സംഭാവന ചെയ്യും.

മോഡലുകളുടെ ദുർബലത കണ്ടെത്തൽ കഴിവുകൾ വിലയിരുത്തുന്ന സൈബർജിം ബെഞ്ച്മാർക്കിൽ, മിത്തോസ് മോഡൽ 83.1% സ്കോർ നേടി, ഓപസ് 4.6 66.6% സ്കോർ നേടി. കോഡ് ഗുണനിലവാര പരിശോധനകളിൽ, മോഡലുകൾ ഇനിപ്പറയുന്ന പ്രകടനം പ്രദർശിപ്പിച്ചു:

പരീക്ഷണത്തിനിടെ, മിത്തോസ് AI മോഡൽ ഉപയോഗിച്ച ആന്ത്രോപിക്ക്, ഏതാനും ആഴ്ചകൾക്കുള്ളിൽ മുമ്പ് അറിയപ്പെടാത്ത ആയിരക്കണക്കിന് (0-ദിവസ) ദുർബലതകൾ തിരിച്ചറിയാൻ കഴിഞ്ഞു, അവയിൽ പലതും ഗുരുതരമാണെന്ന് റേറ്റുചെയ്‌തു. അവയിൽ, 27 വർഷമായി കണ്ടെത്താനാകാതെ കിടന്നിരുന്ന OpenBSD TCP സ്റ്റാക്കിലെ ഒരു ദുർബലത അവർ കണ്ടെത്തി, ഇത് വിദൂര സിസ്റ്റം ക്രാഷുകൾക്ക് കാരണമായി. FFmpeg പ്രോജക്റ്റിന്റെ H.264 കോഡെക്കിന്റെ നിർവ്വഹണത്തിൽ 16 വർഷം പഴക്കമുള്ള ഒരു ദുർബലതയും, പ്രത്യേകം തയ്യാറാക്കിയ ഉള്ളടക്കം പ്രോസസ്സ് ചെയ്യുമ്പോൾ ചൂഷണം ചെയ്യപ്പെടുന്ന H.265, av1 കോഡെക്കുകളിലെ ദുർബലതകളും അവർ കണ്ടെത്തി.

ലിനക്സ് കേർണലിൽ, ഒരു പ്രത്യേകാവകാശമില്ലാത്ത ഉപയോക്താവിന് റൂട്ട് പ്രത്യേകാവകാശങ്ങൾ നേടാൻ അനുവദിക്കുന്ന നിരവധി ദുർബലതകൾ കണ്ടെത്തി. ഈ ദുർബലതകൾ പരസ്പരം ബന്ധിപ്പിച്ചുകൊണ്ട്, ഒരു വെബ് ബ്രൗസറിൽ പ്രത്യേക പേജുകൾ തുറക്കുന്നതിലൂടെ റൂട്ട് പ്രത്യേകാവകാശങ്ങൾ നേടാൻ കഴിയുന്ന ചൂഷണങ്ങൾ സൃഷ്ടിക്കാൻ സാധിച്ചു. ഒരു ഫ്രീബിഎസ്ഡി എൻഎഫ്എസ് സെർവറിലേക്ക് പ്രത്യേകം തയ്യാറാക്കിയ നെറ്റ്‌വർക്ക് പാക്കറ്റുകൾ അയച്ചുകൊണ്ട് റൂട്ട് പ്രത്യേകാവകാശങ്ങളോടെ കോഡ് നിർവ്വഹണം അനുവദിക്കുന്ന ഒരു ചൂഷണവും സൃഷ്ടിക്കപ്പെട്ടു.

സുരക്ഷിതമായ മെമ്മറി മാനേജ്മെന്റ് ഉപകരണങ്ങൾ നൽകുന്ന ഒരു ഭാഷയിൽ എഴുതിയ ഒരു വെർച്വലൈസേഷൻ സിസ്റ്റത്തിൽ ഒരു ദുർബലത തിരിച്ചറിഞ്ഞിട്ടുണ്ട്. ഗസ്റ്റ് സിസ്റ്റത്തിന്റെ കൃത്രിമത്വം വഴി ഹോസ്റ്റ്-സൈഡ് കോഡ് നിർവ്വഹണത്തിന് ഈ ദുർബലത സാധ്യതയുണ്ട് (ഇത് ഇതുവരെ പരിഹരിച്ചിട്ടില്ലാത്തതിനാൽ ദുർബലതയ്ക്ക് പേരിട്ടിട്ടില്ല, പക്ഷേ അത് റസ്റ്റ് കോഡിലെ ഒരു സുരക്ഷിതമല്ലാത്ത ബ്ലോക്കിൽ ഉണ്ടെന്ന് തോന്നുന്നു). എല്ലാ ജനപ്രിയ വെബ് ബ്രൗസറുകളിലും ക്രിപ്‌റ്റോഗ്രാഫിക് ലൈബ്രറികളിലും ദുർബലതകൾ കണ്ടെത്തിയിട്ടുണ്ട്. വിവിധ വെബ് ആപ്ലിക്കേഷനുകളിൽ SQL ഇഞ്ചക്ഷൻ ദുർബലതകൾ തിരിച്ചറിഞ്ഞിട്ടുണ്ട്.

അവലംബം: opennet.ru