თარგმნილი ამბავიტექნოლოგია
ჰაკერებმა Claude-ის ხელსაწყოებით OpenAI-ის შიდა კოდზე წვდომა მოიპოვეს
მკვლევრებმა გარღვევა უვნებელი მოთხოვნით დაამტკიცეს და 6 500 დოლარი მიიღეს
Toms Hardwareორიგინალი Toms Hardware-ზე
ორიგინალი და წყარო
ორიგინალის სათაური
Hackers breach OpenAI using Claude tools, gaining access to employee accounts and the company's internal codebase — attackers initiated a 'harmless' pull request as proof of the hack
ორიგინალი გამოქვეყნდა
ქართული თარგმანიინგლისური ენიდან ქართულად
წყარო: Toms Hardware. ქართული თარგმანი — შიკრიკი.
3 წუთის საკითხავი
ტექსტი ავტომატურად ითარგმნა. წყარო: Toms Hardware.
Hacktron-ის მკვლევრები OpenAI-ის შეცდომების აღმოჩენის ჯილდოს პროგრამის ფარგლებში მოქმედებდნენ. მათ კრიტიკული დაუცველობები აღმოაჩინეს, რომლებმაც თანამშრომლების შიდა ხელსაწყოებზე წვდომა მისცეს. ამ ხარვეზებით კერძო პროგრამული საცავების ხელში ჩაგდებაც შეიძლებოდა. მკვლევრებმა ერთიანი ავტორიზაციის სისტემის, SSO-ს, არასწორი კონფიგურაცია გამოიყენეს. მათ ასევე ისარგებლეს კოდის დისტანციურად შესრულების, RCE-ს, ხარვეზით Discourse-ში, მესამე მხარის პლატფორმაში, რომელიც OpenAI-ის სათემო ფორუმს ემსახურება. შეტევის ჯაჭვი ასეთი იყო: HEIF-ის ატვირთვა, libheif-ში დინამიკური მეხსიერების გადავსება, RCE, OpenAI-ის SSO-ს ხარვეზი, ChatGPT-ისა და Codex-ის ხელში ჩაგდება, დაკავშირებულ GitHub-ზე გადასვლა და შიდა კოდის ცვლილების მოთხოვნა.
მკვლევრებმა თავდაპირველად ფორუმზე პროფილის სურათად მავნე HEIF, მაღალი ეფექტიანობის გამოსახულების ფაილი, ატვირთეს. Discourse-ის სერვერულმა პროგრამამ სურათის დამუშავება მოძველებული libheif პაკეტით სცადა. ამან დინამიკური მეხსიერების გადავსების დაუცველობა გაააქტიურა, ბიბლიოთეკა გათიშა და სისტემური მეხსიერების არასწორი მართვა გამოიწვია. მკვლევრებმა მეხსიერების გათიშვა ისე დაგეგმეს, რომ კოდი დისტანციურად შეესრულებინათ. ფორუმის ადგილობრივ სერვერულ გარემოზე წვდომის შემდეგ მათ გარემოს კონფიგურაციები და სესიების მართვის მონაცემები მოიპოვეს. მკვლევრებმა SSO-ს ხარვეზი აღმოაჩინეს: ფორუმის ავტორიზაციის სისტემა მომხმარებლის სესიებს სათანადოდ ვერ ამოწმებდა და OpenAI-ის სხვა სერვისებისგან ვერ აცალკევებდა.
ჰაკერებმა ფორუმის ადგილობრივი სერვერის მონაცემთა ბაზიდან მოპარული სესიის ტოკენები გამოიყენეს. SSO-ს ხარვეზით მათ OpenAI-ის რეალური თანამშრომლის სახელით მოქმედება შეძლეს. ამ გზით ჩვეულ ავტორიზაციას გვერდი აუარეს და OpenAI-ის დეველოპერების გუნდებთან დაკავშირებულ, ფართო უფლებების მქონე შიდა ანგარიშში შეაღწიეს. ბევრი ტექნოლოგიური კომპანიის მსგავსად, OpenAI-იც კორპორაციულ პროგრამებში ერთიან ავტორიზაციას იყენებს. ამიტომ მოპარული ანგარიში პირდაპირ უკავშირდებოდა კომპანიის სისტემებს, მათ შორის GitHub-ს, Slack-სა და ელფოსტას. მკვლევრებმა OpenAI-ის უზარმაზარ კერძო კოდების საცავზე წვდომა მოიპოვეს და გარღვევის საბოლოო დასტურად შიდა კოდის ცვლილების მოთხოვნა წამოიწყეს.
Hacktron-ის გარღვევაშიც ხელოვნური ინტელექტი გამოიყენეს. ეს შემთხვევა გასულ თვეში მომხდარ ინციდენტს ჰგავს, როცა ჩინეთთან დაკავშირებულმა ჰაკერებმა ტაივანის მთავრობაზე პირველი სრულად ავტონომიური კიბერშეტევა ხელოვნური ინტელექტით განახორციელეს. მკვლევრებმა ექსპლოიტის ჯაჭვი Anthropic-ის Claude Opus 5 მოდელით შექმნეს, რადგან Opus 4.8-ით მცდელობები წარუმატებელი აღმოჩნდა. OpenAI-ის ფორუმზე გაუმართავი libheif ბიბლიოთეკის აღმოჩენის შემდეგ მათ მოდელს სერვერის დაუმუშავებელი მონაცემები მიაწოდეს და ხარვეზისთვის ექსპლოიტის დაწერა სთხოვეს.
სხვა ამბები
Toms Hardware — სხვა ამბები
აშშ-ის ჩიპების ქარხნებს 157 000 თანამშრომელი დააკლდებათ
Toms Hardware
US chip fabs face massive 157,000 worker shortfall, mere 3% of US engineering grads enter chipmaking — despite six-figure salaries, US chip manufacturers are in dire need of engineers and technicians
კომენტარი (0)
გაგვიზიარე შენი აზრი.
კომენტარები ავტომატურად მოწმდება.
აზრის გასაზიარებლად შექმენი ანგარიში ან შედი.
კომენტარები ჯერ არ არის. დაწერე პირველი.