نه، ChatGPT هنوز در مسابقه اشکال امنیتی برنده نشده است

دیر یا زود اتفاق می افتاد. برای اولین بار، شکارچیان اشکال از ChatGPT در یک اکسپلویت موفق Pwn2Own استفاده کردند که به محققان کمک کرد نرم افزار مورد استفاده در برنامه های صنعتی را ربوده و 20,000 دلار برنده شوند.

برای روشن بودن: هوش مصنوعی آسیب پذیری را پیدا نکرد و کدی را برای سوء استفاده از یک نقص خاص ننوشت و اجرا نکرد. اما استفاده موفقیت‌آمیز آن در مسابقه گزارش‌دهی باگ می‌تواند منادی هک‌های آینده باشد.

داستین چایلدز، رئیس آگاهی از تهدیدات در Trend Micro's Zero Day Initiative (ZDI) گفت: «این به معنای تفسیر سنگ روزتا نیست. ثبت نام. 

"این اولین قدم به سوی چیزهای بیشتر است. ما فکر نمی‌کنیم هوش مصنوعی آینده هک باشد، اما مطمئناً می‌تواند به یک دستیار عالی برای زمانی که یک محقق در برابر کدی که با آن آشنا نیستند یا دفاعی که انتظارش را نداشتند، تبدیل شود. 

در مسابقه هفته گذشته در میامی، فلوریدا، تیم کلاروتی 82 از ChatGPT خواست تا به آنها کمک کند تا یک حمله اجرای کد از راه دور را علیه Softing edgeAggregator Siemens توسعه دهند - نرم افزاری که اتصال را در رابط بین OT (فناوری عملیاتی) و IT در برنامه های صنعتی فراهم می کند.  

جزئیات فنی به دلیل ماهیت Pwn2Own محدود است: افراد حفره‌های امنیتی را پیدا می‌کنند، آن‌ها را روی صحنه نشان می‌دهند، به طور خصوصی نحوه انجام این کار را برای توسعه‌دهنده یا فروشنده فاش می‌کنند، ادعای جایزه می‌کنند، و همه ما منتظر هستیم تا جزئیات و وصله‌ها منتشر شوند. در نهایت وقتی آماده شد

در همین حال، می‌توانیم این را بگوییم: انسان‌های درگیر در این اکسپلویت، نوام موشه و اوری کاتز، محققان امنیتی، آسیب‌پذیری را در یک کلاینت OPC Unified Architecture (OPC UA) شناسایی کردند که احتمالاً در مجموعه نرم‌افزار صنعتی edgeAggregator است. OPC UA یک پروتکل ارتباطی ماشین به ماشین است که در اتوماسیون صنعتی استفاده می شود.

پس از یافتن باگ، محققان از ChatGPT خواستند تا یک ماژول Backend برای سرور OPC UA توسعه دهد تا اکسپلویت اجرای از راه دور آنها را آزمایش کند. به نظر می رسد این ماژول اساساً برای ساختن یک سرور مخرب برای حمله به کلاینت آسیب پذیر از طریق آسیب پذیری که duo پیدا کرده است مورد نیاز است.

موشه و کاتز گفتند: «از آنجایی که ما مجبور بودیم تغییرات زیادی برای عملکرد تکنیک بهره برداری خود انجام دهیم، مجبور شدیم تغییرات زیادی در پروژه های منبع باز OPC UA ایجاد کنیم. ثبت نام.

"از آنجایی که ما با اجرای SDK سرور خاص آشنا نبودیم، از ChatGPT برای تسریع فرآیند با کمک به ما در استفاده و اصلاح سرور موجود استفاده کردیم."

آنها اعتراف کردند که این تیم دستورالعمل‌هایی را به هوش مصنوعی ارائه کرد و مجبور شد چند دور اصلاحات و تغییرات «جزئی» را انجام دهد تا زمانی که به یک ماژول سرور باطن قابل اجرا برسد.

اما به طور کلی، به ما گفته می‌شود که ربات چت ابزار مفیدی را ارائه می‌کند که در زمان آنها صرفه‌جویی می‌کند، به خصوص از نظر پر کردن شکاف‌های دانشی مانند یادگیری نحوه نوشتن یک ماژول باطن و اجازه دادن به انسان‌ها برای تمرکز بیشتر روی اجرای اکسپلویت.

این دو گفت: «ChatGPT این ظرفیت را دارد که یک ابزار عالی برای تسریع فرآیند کدگذاری باشد،» و افزودند که کارایی آنها را افزایش می دهد.  

موشه و کاتز می‌گویند: «مثل این است که چندین دور جستجوی Google برای یک الگوی کد خاص انجام دهیم، سپس چندین دور تغییرات را بر اساس نیازهای خاص خود به کد اضافه کنیم، تنها با آموزش به آن چیزی که می‌خواهیم به آن برسیم.»

به گفته Childs، احتمالاً به این صورت است که شاهد استفاده مجرمان سایبری از ChatGPT در حملات واقعی علیه سیستم‌های صنعتی خواهیم بود. 

او گفت: «بهره‌برداری از سیستم‌های پیچیده چالش برانگیز است و اغلب، عوامل تهدید با تمام جنبه‌های یک هدف خاص آشنا نیستند. چایلدز اضافه کرد که انتظار ندارد ابزارهای تولید شده توسط هوش مصنوعی را برای نوشتن اکسپلویت ببیند، «اما آخرین قطعه از پازل مورد نیاز برای موفقیت را فراهم می کند».

و او نگران تصاحب Pwn2Own توسط هوش مصنوعی نیست. حداقل الان نه.

چایلدز گفت: «این هنوز کاملاً دور است. با این حال، استفاده از ChatGPT در اینجا نشان می‌دهد که چگونه هوش مصنوعی می‌تواند به تبدیل یک آسیب‌پذیری به یک سوء استفاده کمک کند - به شرطی که محقق بداند چگونه سؤالات درست بپرسد و پاسخ‌های اشتباه را نادیده بگیرد. این یک پیشرفت جالب در تاریخ مسابقات است و ما مشتاقانه منتظریم تا ببینیم ممکن است به کجا منجر شود." ®

• محتوای مبتنی بر SEO و توزیع روابط عمومی. امروز تقویت شوید.
• پلاتوبلاک چین. Web3 Metaverse Intelligence. دانش تقویت شده دسترسی به اینجا.
• منبع: https://go.theregister.com/feed/www.theregister.com/2023/02/22/chatgpt_pwn2own_ai/