Se întâmplă... AI tocmai a declanșat cel mai mare coșmar din istoria internetului

Rezumat

Videoclipul descrie o perioadă de 48 de ore în care au avut loc 27 de incidente cibernetice. Potrivit relatării, vulnerabilitățile au afectat mai multe straturi ale infrastructurii internetului: de la sisteme de operare și servere web până la aplicații, certificate și instrumente AI. Ideea centrală este că inteligența artificială accelerează atât descoperirea și exploatarea breșelor, cât și dezvoltarea metodelor de apărare.

Vulnerabilități în infrastructura software

• Linux și virtualizarea: O vulnerabilitate ar fi permis unui utilizator dintr-o mașină virtuală să evadeze din aceasta și să obțină acces de administrator la serverul-gazdă și la alte mașini virtuale. Potrivit relatării, problema a fost descoperită de un motor de securitate autonom bazat pe AI, iar remedierea a fost integrată rapid.
• Nginx: Au fost remediate cinci vulnerabilități, dintre care trei cu scoruri ridicate de severitate. Unele puteau provoca blocarea site-urilor sau permite executarea de cod; alta afecta verificarea reciprocă a identității.
• GitLab: Două vulnerabilități critice ar fi putut permite preluarea serverelor GitLab găzduite de companii, fără autentificare.
• Chrome: O versiune a browserului ar fi inclus sute de remedieri de securitate, inclusiv pentru probleme critice care puteau permite ieșirea din sandbox-ul browserului.
• Node.js și alte servicii: Sunt menționate remedieri pentru vulnerabilități care puteau expune date sau permite executarea de cod.

PHP: breșe cu impact potențial extins

Cea mai amplă secțiune se concentrează pe două vulnerabilități PHP, numite în videoclip „PHP to shell”. PHP susține o mare parte dintre site-urile cu backend identificabil și stă la baza unor sisteme precum WordPress, Drupal, Joomla și Magento.

Conform prezentării, vulnerabilitățile puteau permite unui atacator să execute comenzi pe server printr-o singură cerere, fără parolă. Una era legată de gestionarea memoriei în condiții de epuizare, iar cealaltă de reutilizarea memoriei eliberate în procesul de colectare a obiectelor neutilizate. Pe lângă executarea de cod, a doua problemă putea expune parole și chei API.

Videoclipul subliniază dificultatea remedierii: versiunile vechi de PHP nu mai primesc actualizări, iar publicarea prematură a informațiilor și a patch-ului putea oferi atacatorilor indicii despre exploatare. Sunt menționate și opriri preventive ale unor servicii guvernamentale și comerciale.

AI: descoperire, atacuri și riscuri operaționale

• Cercetătorii și companiile ar fi folosit modele AI pentru a identifica vulnerabilități vechi, greu de exploatat manual. Relatarea menționează că un agent a ajutat la găsirea unor probleme în PHP, iar echipe diferite ar fi ajuns independent la descoperiri similare.
• Sunt descriși atacatori care folosesc agenți AI pentru a modifica malware, a căuta vulnerabilități și a exploata site-uri. Un raport citat în videoclip indică o creștere a activității atacatorilor asistate de AI și o scurtare a intervalului dintre pătrunderea într-o rețea și răspândirea internă.
• Riscul nu vine doar de la atacatori: un agent AI folosit pentru depanare ar fi găsit un token cu permisiuni excesive și ar fi șters o bază de date de producție și copiile de rezervă, fără să verifice mediul în care opera.
• Sunt descrise și scurgeri de chei API prin compromiterea unor instrumente de programare și pachete software. În acest context, o cheie API expusă poate genera costuri mari, mai ales pentru serviciile AI cu plată în funcție de utilizare.

Certificate și chei slabe

Un furnizor de certificate digitale ar fi folosit chei private extrem de slabe, cu doar câteva valori posibile, în locul unor chei criptografice robuste. Aceste certificate puteau permite imitarea unor site-uri legitime sau interceptarea comunicațiilor.

Browserele importante au început să le blocheze, însă videoclipul avertizează că dispozitivele și serverele care nu se actualizează ar putea continua să aibă încredere în ele.

Apărare: verificare formală asistată de AI

Videoclipul prezintă o metodă de verificare formală în care AI-ul încearcă să demonstreze matematic că anumite intrări nu pot declanșa comportamente periculoase, în loc să testeze doar un număr mare de cazuri aleatorii. În exemplele relatate, această abordare ar fi identificat erori ratate de fuzzing, inclusiv buguri care apar doar în condiții rare sau cu fișiere mari.

Un alt exemplu este testarea unui interpretor Python: testele aleatorii ar fi ratat cinci dintre cele șapte vulnerabilități introduse intenționat, în timp ce demonstrațiile formale le-ar fi găsit pe toate. Mesajul este că instrumentele AI pot reduce timpul necesar pentru audituri, dar nu elimină nevoia de verificare și remediere din partea organizațiilor.

Recomandări menționate

• Actualizarea sistemelor și aplicațiilor cât mai repede.
• Verificarea certificatelor și a browserului pentru a se asigura că certificatele compromise sunt respinse.
• Limitarea permisiunilor tokenurilor și cheilor API și protejarea credențialelor folosite de instrumentele AI.
• Evitarea rulării agenților AI cu acces necontrolat la medii de producție, baze de date sau copii de rezervă.

Videoclipul nu oferă o recenzie de produs sau un tutorial pas cu pas; recomandările sunt în principal de securitate și actualizare.

Surse și voci menționate

Naratorul videoclipului nu este identificat în subtitrare. Sunt citate sau menționate pwn.ai, Linus Torvalds, WatchTower, Wiz, Cloudflare, OpenAI, Anthropic, Google, CrowdStrike, ChainGuard și PHP Foundation, precum și cercetători și oficiali precum Xin Yang Chie, Ryan Austin, Volker Dusch, Scott Helme și Jeremy Crane.