ไม่ ChatGPT ยังไม่ชนะการประกวดจุดบกพร่องด้านความปลอดภัย …

มันจะต้องเกิดขึ้นไม่ช้าก็เร็ว ดูเหมือนว่าเป็นครั้งแรกที่นักล่าบั๊กใช้ ChatGPT ในการหาประโยชน์จาก Pwn2Own ที่ประสบความสำเร็จ ช่วยให้นักวิจัยขโมยซอฟต์แวร์ที่ใช้ในแอปพลิเคชันอุตสาหกรรมและรับรางวัล $20,000

เพื่อให้ชัดเจน: AI ไม่พบช่องโหว่หรือเขียนและเรียกใช้โค้ดเพื่อใช้ประโยชน์จากข้อบกพร่องเฉพาะ แต่การใช้งานที่ประสบความสำเร็จในการแข่งขันรายงานข้อผิดพลาดอาจเป็นลางสังหรณ์ของการแฮ็กในอนาคต

“นี่ไม่ใช่การตีความ Rosetta Stone” Dustin Childs หัวหน้าฝ่ายการรับรู้ภัยคุกคามที่ Zero Day Initiative (ZDI) ของ Trend Micro กล่าว ลงทะเบียน. 

“มันเป็นก้าวแรกสู่บางสิ่งที่มากกว่านั้น เราไม่คิดว่า AI จะเป็นอนาคตของการแฮ็ก แต่แน่นอนว่ามันสามารถกลายเป็นผู้ช่วยที่ยอดเยี่ยมได้เมื่อนักวิจัยพบรหัสที่ไม่คุ้นเคยหรือการป้องกันที่พวกเขาไม่คาดคิด” 

ในการแข่งขันสัปดาห์ที่แล้วที่เมืองไมอามี รัฐฟลอริดา ทีมของ Claroty82 ขอให้ ChatGPT ช่วยพัฒนาการโจมตีด้วยคำสั่งจากระยะไกลกับ Softing edgeAggregator Siemens ซึ่งเป็นซอฟต์แวร์ที่ให้การเชื่อมต่อที่ส่วนต่อประสานระหว่าง OT (เทคโนโลยีการปฏิบัติงาน) และ IT ในแอปพลิเคชันอุตสาหกรรม  

รายละเอียดทางเทคนิคมีจำกัดเนื่องจากธรรมชาติของ Pwn2Own: ผู้คนพบช่องโหว่ด้านความปลอดภัย แสดงให้เห็นบนเวที เปิดเผยแบบส่วนตัวว่าพวกเขาทำได้อย่างไรกับผู้พัฒนาหรือผู้จำหน่าย รับรางวัล และเราทุกคนรอรายละเอียดและแพตช์ที่จะออกมา ในที่สุดเมื่อพร้อม

ในระหว่างนี้ เราสามารถพูดได้ดังนี้: มนุษย์ที่เกี่ยวข้องกับการเจาะระบบ นักวิจัยด้านความปลอดภัย Noam Moshe และ Uri Katz ระบุช่องโหว่ในไคลเอนต์ OPC Unified Architecture (OPC UA) ซึ่งน่าจะอยู่ในชุดซอฟต์แวร์อุตสาหกรรม edgeAggregator OPC UA เป็นโปรโตคอลการสื่อสารแบบเครื่องต่อเครื่องที่ใช้ในระบบอัตโนมัติทางอุตสาหกรรม

หลังจากพบข้อบกพร่อง นักวิจัยขอให้ ChatGPT พัฒนาโมดูลส่วนหลังสำหรับเซิร์ฟเวอร์ OPC UA เพื่อทดสอบการใช้ประโยชน์จากการดำเนินการระยะไกล ดูเหมือนว่าโมดูลนี้จำเป็นสำหรับการสร้างเซิร์ฟเวอร์ที่เป็นอันตรายเพื่อโจมตีไคลเอนต์ที่มีช่องโหว่ผ่านช่องโหว่ที่ทั้งคู่พบ

“เนื่องจากเราต้องทำการปรับเปลี่ยนมากมายเพื่อให้เทคนิคการแสวงหาผลประโยชน์ของเราใช้งานได้ เราจึงต้องทำการเปลี่ยนแปลงหลายอย่างกับโครงการ OPC UA แบบโอเพ่นซอร์สที่มีอยู่” Moshe และ Katz กล่าว ลงทะเบียน.

“เนื่องจากเราไม่คุ้นเคยกับการใช้ SDK ของเซิร์ฟเวอร์ที่เฉพาะเจาะจง เราจึงใช้ ChatGPT เพื่อเร่งกระบวนการโดยช่วยให้เราใช้และแก้ไขเซิร์ฟเวอร์ที่มีอยู่”

ทีมงานให้คำแนะนำแก่ AI และต้องทำการแก้ไขสองสามรอบและแก้ไข "เล็กน้อย" จนกว่าจะได้โมดูลเซิร์ฟเวอร์ส่วนหลังที่ใช้งานได้ พวกเขายอมรับ

แต่โดยรวมแล้ว เราได้ยินมาว่าแชทบอทมอบเครื่องมือที่มีประโยชน์ซึ่งช่วยประหยัดเวลา โดยเฉพาะอย่างยิ่งในแง่ของการเติมเต็มช่องว่างความรู้ เช่น การเรียนรู้วิธีเขียนโมดูลแบ็กเอนด์ และช่วยให้มนุษย์มีสมาธิกับการใช้ช่องโหว่มากขึ้น

“ChatGPT มีความสามารถที่จะเป็นเครื่องมือที่ยอดเยี่ยมในการเร่งกระบวนการเขียนโค้ด” ทั้งคู่กล่าว และเสริมว่ามันช่วยเพิ่มประสิทธิภาพของพวกเขา  

Moshe และ Katz กล่าวว่า "มันเหมือนกับการค้นหา Google หลายๆ รอบเพื่อหาเทมเพลตโค้ดเฉพาะ จากนั้นจึงเพิ่มการแก้ไขโค้ดหลายรอบตามความต้องการเฉพาะของเรา

จากข้อมูลของ Childs นี่อาจเป็นวิธีที่เราจะเห็นว่าอาชญากรไซเบอร์ใช้ ChatGPT ในการโจมตีระบบอุตสาหกรรมในชีวิตจริง 

“การใช้ประโยชน์จากระบบที่ซับซ้อนเป็นสิ่งที่ท้าทาย และบ่อยครั้งที่ผู้คุกคามไม่คุ้นเคยกับทุกแง่มุมของเป้าหมายใดเป้าหมายหนึ่ง” เขากล่าว Childs เสริมว่าเขาไม่คาดหวังว่าจะได้เห็นเครื่องมือที่สร้างโดย AI ในการเขียนหาประโยชน์ “แต่ให้ปริศนาชิ้นสุดท้ายที่จำเป็นสำหรับความสำเร็จ”

และเขาไม่กังวลว่า AI จะเข้าครอบครอง Pwn2Own อย่างน้อยก็ยังไม่ได้

“นั่นยังค่อนข้างห่างไกล” Childs กล่าว “อย่างไรก็ตาม การใช้ ChatGPT ที่นี่แสดงให้เห็นว่า AI สามารถช่วยเปลี่ยนช่องโหว่ให้กลายเป็นช่องโหว่ได้อย่างไร – หากผู้วิจัยรู้วิธีถามคำถามที่ถูกต้องและเพิกเฉยต่อคำตอบที่ผิด เป็นการพัฒนาที่น่าสนใจในประวัติศาสตร์ของการแข่งขัน และเราหวังว่าจะได้เห็นว่ามันอาจนำไปสู่ที่ใด” ®

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://go.theregister.com/feed/www.theregister.com/2023/02/22/chatgpt_pwn2own_ai/