Forskaren inom cybersÀkerhet Mohan Pedhapati berÀttade, hur han med hjÀlp av AI-modellen Anthropic Claude Opus 4.6 skrev en komplett kedja av exploits för att hacka JavaScript V8-motorn i webblÀsaren Google Chrome 138, som anvÀnds av den aktuella Discord-klienten.
Processen för att skriva kedjan av exploits tog en vecka, rapporterade forskaren â under processen förbrukades 2,3 miljarder token och $2283 för tillgĂ„ng till AI-modellen via API; han lade ocksĂ„ ner egna anstrĂ€ngningar, totalt 20 timmar pĂ„ att lösa problem med dödlĂ€gen. Summan det kostade att skapa hackschemat framstĂ„r som betydande för en ensamstĂ„ende, erkĂ€nde Mohan Pedhapati; Ă„ sin sida skulle en person, utan hjĂ€lp utifrĂ„n, arbeta med ett liknande projekt i flera veckor. Projektet visade sig ocksĂ„ vara ekonomiskt lönsamt â belöningen frĂ„n Google och Discord för att rapportera en sĂ„dan exploit kan vara runt $15 000. Och detta Ă€r endast den legitima marknaden â för en zero-day sĂ„rbarhet skulle cyberkriminella kunna betala betydligt mer.
MĂ„nga tjĂ€nster slĂ€pper sina applikationer pĂ„ Electron-ramverket, som i sin tur bygger pĂ„ Chrome â sĂ„ görs det inte bara i Discord, utan Ă€ven till exempel i Slack. Det aktuella kodramverket ligger en version efter webblĂ€saren, och applikationsutvecklare uppdaterar inte alltid beroenden i tid, och anvĂ€ndare installerar inte alltid de senaste versionerna av applikationerna. Discord-klienten valdes av erfarenheten eftersom den körs pĂ„ Chrome 138, vilket betyder att den ligger efter den aktuella versionen av webblĂ€saren med nio huvudversioner.
En nybörjare inom programmering kan, enligt Mohan Pedhapati, med tillrĂ€ckligt med tĂ„lamod och en API-nyckel för att fĂ„ tillgĂ„ng till AI-modellen, hacka obearbetad programvara â "det handlar om tid, inte sannolikhet". Dessutom Ă€r "varje patch i grunden en ledtrĂ„d för ett exploit", eftersom projekt med öppen kĂ€llkod utvecklas transparent, vilket innebĂ€r att korrigeringar ofta blir offentliga i koden innan den uppdaterade versionen av programmet slĂ€pps. För att skydda applikationer mot sĂ„dana attacker rekommenderar experten att noggrant övervaka beroenden och snabbt göra Ă€ndringar, samt att automatiskt slĂ€ppa sĂ€kerhetspatcher sĂ„ att anvĂ€ndarprogramvaran inte förblir sĂ„rbar om uppdateringen glöms bort. Slutligen bör projekt med öppen kĂ€llkod vara försiktiga med att publicera detaljerad information om sĂ„rbarheter.
KĂ€lla:
KĂ€lla: 3dnews.ru
