GLM 5.3 Modeli Firefox Güvenlik Açıklarından Yararlanarak İnsan Müdahalesi Olmadan Zincirleme Saldırı Gerçekleştirdi
Kaynak: the-decoder.com ·
Epoch AI araştırmacıları, açık ağırlıklı GLM 5.3 modelinin, güvenlik düzeltmeleri kullanıcılara ulaşmadan önceki yama boşluğundan yararlanarak Firefox'a otonom saldırılar düzenleyebildiğini gösterdi. Model, insan müdahalesi olmaksızın 48 saatten kısa sürede ve sürüm başına yaklaşık 1.000 dolar API ücretiyle çok aşamalı sömürü zincirleri inşa etti. Testler sırasında model, bir kullanıcının web sayfasını ziyaret etmesiyle yerel dosyaları okuyabilen bir sistem kurdu. Araştırmacılar, bu yapısal yama boşluğu riskinin tarayıcılar, mobil işletim sistemleri ve yönlendirici yazılımları dahil tüm yazılım endüstrisini etkilediğini vurguluyor.
Neden önemli?
Bu durum, halka açık güvenlik düzeltmelerinin ve kod değişikliklerinin kötü niyetli yapay zeka modelleri tarafından nasıl silaha dönüştürülebileceğini gözler önüne seriyor. 200 milyondan fazla aktif Firefox kullanıcısı ve benzer yapılar kullanan tüm yazılım ekosistemi, kaydedilmiş şifreler ve kimlik doğrulama çerezleri gibi hassas verilerin sızdırılması riskiyle karşı karşıya kalmaktadır.
Bununla neler yapılabilir?
- Olası kullanım: Yazılım geliştirme ekiplerinin güvenlik yamalarını yayınlamadan önce kod değişikliklerinin açık ağırlıklı yapay zeka modelleri tarafından nasıl kötüye kullanılabileceğini test etmesi.
- Olası kullanım: Güvenlik araştırmacılarının tarayıcı korumalarındaki zayıflıkları tespit etmek amacıyla otonom sömürü zinciri simülasyonları gerçekleştirmesi.
Somut sonuçlar ve kanıtlar
- GLM 5.3 modeli, insan müdahalesi olmadan 48 saatten kısa sürede Firefox sömürü zincirleri inşa etti ve başarılı her saldırının API ücreti yaklaşık 1.000 dolar tuttu. (Kaynak)
Sınırlar ve açık kalan sorular
Araştırma yalnızca belirli Firefox sürümleri üzerinde yapılmış olup, aynı kurulum ve tekniklerin Google Chrome üzerinde uygulanmasında yaklaşık 100.000 dolar API ücreti harcanmasına rağmen eşdeğer bir sömürü üretilememiştir. Sınırlar, açık kodlu projelerin ve güncellemeleri nadiren alan yönlendirici yazılımlarının maruz kaldığı riskleri tam olarak kapsamaktadır ancak tüm cihazlar için kesin bir başarı garantisi sunmamaktadır.