Yapay zekâ ajanları Linux çekirdeğinde 948 açık buldu

0

BEĞENDİM

ABONE OL

News

0

OpenAI’nin yayımlanmayan bir siber güvenlik modeliyle çalışan otonom sistem, tek bir çalıştırmada Linux çekirdeğinde 948 farklı ayrıcalık yükseltme açığı için çalışan istismar kodları geliştirdi. Çalışmanın API maliyeti 1 milyon 213 bin 430 dolar oldu.

Ekim ayının ortasında yürütülen taramada, çekirdeğin ana dalındaki güncel kodlar incelendi. Yapay zekâ ajanları, düşük yetkili kullanıcıların erişebildiği güvenlikle ilgili bölgelere odaklandı; 2.308 olası hata belirledi ve bunların 1.724’ünü doğruladı.

İstismarlar, KASLR, SMEP ve SMAP gibi yaygın korumaların etkin olduğu, değiştirilmemiş masaüstü Linux kurulumlarını çalıştıran sanal makinelerde test edildi. Ajanlar toplam 1.169 çalışan yerel ayrıcalık yükseltme istismarı ve bilgi sızıntılarına ilişkin 291 kavram kanıtı hazırladı.

OpenAI, 948 sayısının bu istismarların arkasındaki hatalar için oluşturulan ayrı yamaların sayısını ifade ettiğini belirtti. Güvenlik araştırmacıları, çekirdek geliştiricilerine gönderilmeden önce istismarları, düzeltmeleri ve sistemin önerdiği önem derecelerini inceledi.

Şirket, sistemin en az 10 yeni Linux istismar tekniğini keşfedip kullandığını bildirdi. OpenAI dışındaki çekirdek istismarı uzmanlarının da bu tekniklere aşina olmadığı, güvenlik gerekçesiyle ayrıntıların paylaşılmayacağı belirtildi.

948 istismar için yapılan toplam harcama, istismar başına yaklaşık 1.279 dolara karşılık geldi. Temmuz sonundaki önceki taramada ise 513.690 dolarlık API kredisi kullanılarak 166 ayrı yerel ayrıcalık yükseltme istismarı bulunmuştu.

OpenAI, Linux çekirdeğinde ayrıcalık yükseltme istismarları için Pwn2Own ve TyphoonPWN yarışmalarında geçmişte ödenen 20 bin ila 70 bin dolarlık ödüller üzerinden yaptığı hesaplamada, 948 hatanın toplam değerinin 18,9 milyon ila 66,3 milyon dolar arasında olabileceğini belirtti. Şirkete göre bu tutar, taramanın maliyetinin 16 ila 55 katına denk geliyor.

Ekim taraması, aradaki üç aylık güvenlik güçlendirme çalışmalarına rağmen temmuz taramasının beş katından fazla yeni yerel ayrıcalık yükseltme istismarı ortaya çıkardı.

Pipeline ayrıca Google’ın güçlendirilmiş ve daha dar bir saldırı yüzeyine sahip kernelCTF çekirdeğinin uyarlanmış bir sürümünde de çalıştırıldı. Sistem, 112 saatte ve yaklaşık 33 bin dolarlık API kredisiyle 21 yerel ayrıcalık yükseltme istismarı üretti.

OpenAI, çekirdek topluluğunun önerileri doğrultusunda kritik hatalarla ilgili yüzlerce rapor ve yamayı sunduğunu, kalan düzeltmeleri ise Patch the Planet girişimindeki ortaklarıyla aşamalı olarak göndereceğini açıkladı. Şirket, tarama sürerken 10 gün içinde 100’den fazla Linux yerel ayrıcalık yükseltme açığının yamalandığını veya başka katkıcılar tarafından hazırlık aşamasındaki yamalara konu edildiğini, yaklaşık 300 açığın da kamuya açık biçimde tartışıldığını bildirdi.

Şirket, güncel yamaları yüklenmemiş bir işletim sisteminde düşük yetkili hesaba erişimin, iyi kaynaklara sahip bir tehdit aktörü açısından kısa ve orta vadede fiilen kök erişimine eşdeğer kabul edilmesi gerektiği uyarısında bulundu. Bir açığın istismar edilmesi halinde zararı sınırlamak için Firecracker ve gVisor gibi sanallaştırma alanı ve izolasyon teknolojileri de dahil olmak üzere katmanlı savunmalar önerildi.

OpenAI hata ödüllerini artırıyor

OpenAI, 2 Kasım’da Güvenlik Hata Ödülü programındaki ödemeleri artırdığını da duyurdu. Şirket, kendi testlerinin gözden kaçırabileceği açıkları aramak üzere daha fazla bağımsız araştırmacıyı teşvik etmeyi amaçlıyor.

Orta, yüksek ve kritik önem derecelerindeki hatalar için ödeme aralıklarının orta noktalarının ortalama olarak dört kattan fazla yükseldiği belirtildi. ChatGPT, Codex, API Platform veya başka bir temel üründe kritik bir açık bildiren araştırmacılar 30 bin dolara kadar ödül alabilecek.

Bu ürünlerdeki istisnai kritik hatalar için üst sınır 100 bin dolar olarak korunurken, ikramiyeler tek bir ödemenin 172 bin dolara ulaşmasını sağlayabilecek. OpenAI ayrıca yüksek kaliteli raporlar için ikramiyeler, geçerli açıklar bulmaya devam eden araştırmacılar için beş kademeli sadakat programı ve öncelikli kampanyalarda bildirilen hatalar için ek çarpanlar ekliyor.