O pesquisador em cibersegurança Mohan Pedhapati contou, explicou como, utilizando o modelo de inteligência artificial Anthropic Claude Opus 4.6, escreveu uma cadeia completa de exploits para invadir o motor JavaScript V8 no navegador Google Chrome 138, que é a versão atual do cliente Discord.
O processo de escrita da cadeia de exploits levou uma semana, disse o pesquisador — foram utilizados 2,3 bilhões de tokens e $2283 para acessar o modelo de IA via API; ele também dedicou esforços próprios, totalizando 20 horas na resolução de problemas de bloqueio. O custo da criação da cadeia de ataques é considerado significativo para um indivíduo, reconheceu Mohan Pedhapati; por outro lado, sem ajuda externa, uma pessoa levaria várias semanas para trabalhar em um projeto similar. O projeto foi rentável também em termos econômicos — a recompensa da Google e do Discord por relatar tal exploit pode chegar a cerca de $15.000. E isso é apenas o mercado legal — criminosos cibernéticos poderiam pagar mais dinheiro por uma vulnerabilidade de dia zero.
Muitos serviços lançam suas aplicações no framework Electron, que, por sua vez, é baseado no Chrome — isso é feito não apenas no Discord, mas também, por exemplo, no Slack. O código atual do framework está atrasado em uma versão em relação ao navegador, e os desenvolvedores de aplicativos nem sempre atualizam suas dependências prontamente, além disso, os usuários nem sempre instalam as versões mais recentes dos aplicativos. O cliente Discord foi escolhido pelo pesquisador porque ele está baseado no Chrome 138, ou seja, está nove versões principais atrás da versão atual do navegador.
Qualquer programador iniciante, aponta Mohan Pedhapati, pode, com paciência suficiente e uma chave de API para acessar um modelo de IA, explorar software desatualizado — "é uma questão de tempo, e não de probabilidade". Além disso, "cada patch é, na verdade, uma dica para o exploit", pois os projetos de código aberto são desenvolvidos de forma transparente, ou seja, as correções muitas vezes se tornam públicas no código antes que uma nova versão do software seja lançada. Para proteger aplicativos contra tais ataques, o especialista recomenda monitorar mais de perto as dependências e fazer alterações rapidamente, bem como lançar patches de segurança automaticamente, para que o software do usuário não permaneça vulnerável se uma atualização for apenas esquecida. Por fim, projetos de código aberto devem ter cuidado ao publicar detalhes sobre vulnerabilidades.
Fonte:
Fonte: 3dnews.ru
