Ei, ChatGPT ei ole veel turvaveavõistlust võitnud...

Taasavaldanud Platon

järgijaid: 0

Ei, ChatGPT ei ole võitnud turvavigade konkurssi … veel PlatoBlockchain Data Intelligence. Vertikaalne otsing. Ai.

Varem või hiljem pidi see kindlasti juhtuma. Esimest korda näib, et veakütid kasutasid ChatGPT-d edukas Pwn2Owni ärakasutamises, aidates teadlastel kaaperdada tööstusrakendustes kasutatavat tarkvara ja võita 20,000 XNUMX dollarit.

Selguse huvides: AI ei leidnud haavatavust ega kirjutanud ega käivitanud koodi konkreetse vea ärakasutamiseks. Kuid selle edukas kasutamine vigadest teatamise võistlusel võib olla tulevaste häkkimiste esilekutsuja.

"See ei ole Rosetta kivi tõlgendamine," ütles Dustin Childs, Trend Micro Zero Day Initiative'i (ZDI) ohuteadlikkuse juht. Register.

"See on esimene samm millegi enama poole. Me ei arva, et tehisintellekt on häkkimise tulevik, kuid sellest võib kindlasti saada suurepärane abimees, kui teadlane puutub kokku koodijupiga, mida nad ei tunne, või kaitsemehhanismiga, mida nad ei oodanud.

Eelmisel nädalal Floridas Miamis toimunud võistlusel Claroty meeskond82 palus ChatGPT-l aidata neil välja töötada koodi kaugkäivitusrünnak Softing edgeAggregator Siemensi vastu – tarkvara, mis pakub ühenduvust OT (operatsioonitehnoloogia) ja IT vahelises liideses tööstuslikes rakendustes.

Tehnilised üksikasjad on Pwn2Owni olemuse tõttu piiratud: inimesed leiavad turvaaugud, demonstreerivad neid laval, avalikustavad arendajale või müüjale privaatselt, kuidas nad seda tegid, võtavad endale auhinna ja me kõik ootame, kuni üksikasjad ja paigad välja tulevad. lõpuks kui valmis.

Vahepeal võime öelda järgmist: ärakasutamises osalenud inimesed, turvateadlased Noam Moshe ja Uri Katz, tuvastasid OPC Unified Architecture (OPC UA) kliendi haavatavuse, mis arvatavasti sisaldub EdgeAggregatori tööstustarkvara komplektis. OPC UA on masinatevaheline sideprotokoll, mida kasutatakse tööstusautomaatikas.

Pärast vea leidmist palusid teadlased ChatGPT-l välja töötada OPC UA serveri jaoks taustamoodul, et testida nende kaugkäivitusfunktsiooni. Näib, et seda moodulit oli vaja põhimõtteliselt pahatahtliku serveri loomiseks, et rünnata haavatavat klienti duo leitud haavatavuse kaudu.

"Kuna pidime oma ekspluateerimistehnika toimimiseks tegema palju muudatusi, pidime olemasolevates avatud lähtekoodiga OPC UA projektides tegema palju muudatusi," rääkisid Moshe ja Katz. Register.

"Kuna me ei olnud konkreetse serveri SDK juurutamisega tuttav, kasutasime protsessi kiirendamiseks ChatGPT-d, aidates meil olemasolevat serverit kasutada ja muuta."

Nad tunnistasid, et meeskond andis tehisintellektile juhiseid ning pidi tegema paar parandusringi ja "väiksemaid" muudatusi, kuni nad leidsid toimiva taustaserveri mooduli.

Kuid üldiselt pakkus meile juturobot kasulikku tööriista, mis säästis nende aega, eriti teadmistelünkade täitmisel, näiteks taustamooduli kirjutamise õppimisel ja võimaldades inimestel keskenduda rohkem ärakasutamise rakendamisele.

"ChatGPT on võimeline olema suurepärane tööriist kodeerimisprotsessi kiirendamiseks," ütles duo ja lisas, et see suurendas nende tõhusust.

"See on sama, nagu teeksime Google'i otsinguid konkreetse koodimalli järgi, lisades seejärel koodi mitu vooru, mis põhinevad meie konkreetsetel vajadustel, juhendades seda, mida me tahame saavutada, " ütlesid Moshe ja Katz.

Childsi sõnul näeme ilmselt nii, kuidas küberkurjategijad kasutavad ChatGPT-d reaalsetes rünnakutes tööstussüsteemide vastu.

"Keeruliste süsteemide kasutamine on keeruline ja sageli ei tunne ohus osalejad konkreetse sihtmärgi kõiki aspekte," ütles ta. Childs lisas, et ta ei oota AI-ga loodud tööriistu, mis kirjutavad ärakasutamist, "kuid esitab edu saavutamiseks vajaliku viimase pusletüki."

Ja ta ei ole mures selle pärast, et AI võtab Pwn2Owni üle. Vähemalt veel mitte.

"See on veel üsna kaugel," ütles Childs. "Kuid ChatGPT kasutamine siin näitab, kuidas tehisintellekt võib aidata muuta haavatavus ärakasutamiseks – eeldusel, et teadlane teab, kuidas esitada õigeid küsimusi ja ignoreerida valesid vastuseid. See on huvitav areng võistluse ajaloos ja ootame huviga, kuhu see välja võib viia. ®