아니요, ChatGPT는 아직 보안 버그 대회에서 우승하지 못했습니다.

아니요, ChatGPT는 아직 보안 버그 대회에서 우승하지 못했습니다.

타임 스탬프 : 22 년 2023 월 3 일 오후 30:XNUMX
아니요, ChatGPT는 보안 버그 콘테스트에서 우승하지 못했습니다. 아직 PlatoBlockchain Data Intelligence입니다. 수직 검색. 일체 포함.

조만간 일어날 수밖에 없었습니다. 사상 처음으로 버그 헌터는 성공적인 Pwn2Own 익스플로잇에서 ChatGPT를 사용하여 연구원들이 산업용 애플리케이션에 사용되는 소프트웨어를 하이재킹하고 20,000달러를 획득할 수 있도록 도왔습니다.

명확히 하자면, AI는 취약점을 발견하지도 않았고 특정 결함을 악용하기 위한 코드를 작성하고 실행하지도 않았습니다. 그러나 버그 보고 대회에서 성공적으로 사용되면 다가올 해킹의 전조가 될 수 있습니다.

Trend Micro의 ZDI(Zero Day Initiative) 위협 인식 책임자인 Dustin Childs는 "이것은 Rosetta Stone을 해석하는 것이 아닙니다"라고 말했습니다. 등록. 

“더 많은 것을 향한 첫 걸음입니다. 우리는 AI가 해킹의 미래라고 생각하지 않지만 연구원이 익숙하지 않은 코드 조각이나 예상하지 못한 방어에 맞닥뜨렸을 때 확실히 훌륭한 도우미가 될 수 있습니다.” 

지난 주 플로리다 마이애미에서 열린 콘테스트에서 Claroty의 Team82 ChatGPT에 Softing edgeAggregator Siemens에 대한 원격 코드 실행 공격 개발을 도와달라고 요청했습니다. 이 소프트웨어는 산업용 애플리케이션에서 OT(운영 기술)와 IT 간의 인터페이스에서 연결을 제공하는 소프트웨어입니다.  

기술 세부 사항은 Pwn2Own의 특성으로 인해 제한됩니다. 사람들이 보안 허점을 찾고, 무대에서 이를 시연하고, 개발자 또는 공급업체에 어떻게 이를 수행했는지 비공개로 공개하고, 상금을 청구하고, 우리는 모두 세부 사항과 패치가 나오기를 기다립니다. 결국 준비되면.

그동안 우리는 다음과 같이 말할 수 있습니다. 익스플로잇에 연루된 사람인 보안 연구원 Noam Moshe와 Uri Katz는 edgeAggregator 산업용 소프트웨어 제품군 내에서 추정되는 OPC 통합 아키텍처(OPC UA) 클라이언트의 취약점을 식별했습니다. OPC UA는 산업 자동화에 사용되는 기계 간 통신 프로토콜입니다.

연구원들은 버그를 찾은 후 ChatGPT에 OPC UA 서버용 백엔드 모듈을 개발하여 원격 실행 악용을 테스트하도록 요청했습니다. 이 모듈은 듀오가 발견한 취약점을 통해 취약한 클라이언트를 공격하기 위해 기본적으로 악성 서버를 구축하는 데 필요한 것으로 보입니다.

Moshe와 Katz는 "이용 기술이 작동하려면 많은 수정을 해야 했기 때문에 기존 오픈 소스 OPC UA 프로젝트를 많이 변경해야 했습니다."라고 말했습니다. 등록.

"특정 서버 SDK 구현에 익숙하지 않았기 때문에 ChatGPT를 사용하여 기존 서버를 사용하고 수정할 수 있도록 도와 프로세스를 신속하게 처리했습니다."

팀은 AI에 지침을 제공했으며 실행 가능한 백엔드 서버 모듈이 나올 때까지 몇 차례의 수정과 "사소한" 변경을 수행해야 했다고 인정했습니다.

그러나 전반적으로 챗봇은 특히 백엔드 모듈을 작성하는 방법을 배우고 인간이 악용 구현에 더 집중할 수 있도록 하는 것과 같은 지식 격차를 메우는 측면에서 시간을 절약하는 유용한 도구를 제공했다고 들었습니다.

"ChatGPT는 코딩 프로세스를 가속화하기 위한 훌륭한 도구가 될 수 있는 능력이 있습니다."라고 듀오는 효율성을 높였다고 덧붙였습니다.  

Moshe와 Katz는 "특정 코드 템플릿에 대해 여러 차례 Google 검색을 수행한 다음 특정 요구 사항에 따라 코드에 여러 차례 수정 사항을 추가하는 것과 같습니다.

Childs에 따르면 이것이 사이버 범죄자들이 산업 시스템에 대한 실제 공격에서 ChatGPT를 사용하는 방식일 것입니다. 

"복잡한 시스템을 악용하는 것은 어려운 일이며 종종 위협 행위자는 특정 대상의 모든 측면에 익숙하지 않습니다."라고 그는 말했습니다. 차일즈는 AI가 생성한 도구가 익스플로잇을 작성하는 것을 기대하지는 않지만 "성공에 필요한 마지막 퍼즐 조각을 제공할 것"이라고 덧붙였습니다.

그리고 그는 AI가 Pwn2Own을 인수하는 것에 대해 걱정하지 않습니다. 적어도 아직은 아닙니다.

차일즈는 "아직 멀었다"고 말했다. “그러나 연구원이 올바른 질문을 하고 오답을 무시하는 방법을 알고 있다면 여기에서 ChatGPT를 사용하면 AI가 취약점을 익스플로잇으로 전환하는 데 어떻게 도움이 되는지 보여줍니다. 대회 역사상 흥미로운 발전이며 우리는 그것이 어디로 이어질지 기대하고 있습니다.” ®

타임 스탬프 :

더보기 등록