Kibertəhlükəsizlik üzrə tədqiqatçı Mohan Pedhapati süni intellektin imkanlarından istifadə edərək diqqətçəkən bir sınaq həyata keçirib. O, "Anthropic Claude Opus 4.6" modelinin köməyi ilə "Google Chrome 138" brauzerindəki "JavaScript V8" mühərrikini sındırmaq üçün tam eksployt zənciri yazıb. Hazırda populyar "Discord" tətbiqi məhz bu versiya üzərində işləyir.
Tədqiqatçının sözlərinə görə, eksployt zəncirinin yaradılması prosesi cəmi bir həftə çəkib. Bu müddət ərzində API vasitəsilə süni intellekt modelinə giriş üçün 2,3 milyard token sərf edilib və ümumilikdə 2283 ABŞ dolları xərclənib. Mohan Pedhapati həmçinin yaranmış çıxılmaz vəziyyətləri həll etmək üçün əlavə olaraq 20 saat fərdi əmək sərf etdiyini bildirib. Mütəxəssis qeyd edib ki, kənar kömək olmadan bir insanın analoji layihə üzərində işləməsi həftələrlə vaxt apara bilərdi.
İqtisadi baxımdan bu layihə olduqca gəlirli hesab edilir. Belə ki, bu cür eksployt barədə məlumat verdiyinə görə "Google" və "Discord" tərəfindən təklif olunan mükafat təxminən 15 000 ABŞ dolları təşkil edə bilər. Bu yalnız qanuni bazarın təklifidir, kibercinayətkarlar isə sıfırıncı gün (zero-day) boşluğu üçün qat-qat böyük məbləğlər ödəməyə hazırdırlar.
Niyə məhz köhnə versiyalar hədəf alınır?
Bir çox xidmətlər öz tətbiqlərini "Chrome" brauzerinə əsaslanan "Electron" freymvorku üzərində qurur. Bu təcrübə təkcə "Discord" deyil, həm də "Slack" kimi platformalarda tətbiq olunur. Lakin freymvorkun aktual kodu adətən brauzerdən bir versiya geridə qalır. Tədqiqatçının sınaq üçün "Discord" tətbiqini seçməsinin əsas səbəbi isə onun hazırkı brauzer versiyasından doqquz əsas buraxılış geridə qalan "Chrome 138" üzərində işləməsidir.
Süni intellektlə haker hücumları asanlaşır?
Mohan Pedhapati vurğulayır ki, kifayət qədər səbri və süni intellekt modelinə API çıxışı olan istənilən təcrübəsiz proqramçı yenilənməmiş proqram təminatını sındıra bilər. O, bu vəziyyəti belə şərh edib:
"Bu, ehtimal deyil, zaman məsələsidir". Tədqiqatçı əlavə edib ki, açıq mənbəli layihələr şəffaf inkişaf etdirildiyi üçün hər bir təhlükəsizlik yaması əslində eksployt üçün bir ipucuna çevrilir.
Sistemləri necə qorumaq olar?
Ekspert bu cür hücumlardan qorunmaq üçün tətbiq tərtibatçılarına asılılıqları daha diqqətlə izləməyi və dəyişiklikləri operativ şəkildə tətbiq etməyi tövsiyə edir. İstifadəçilərin yeniləmələri unutması riskinə qarşı təhlükəsizlik yamaqlarının avtomatik buraxılması vacibdir. Nəhayət, açıq mənbəli layihələr zəifliklər barədə ətraflı məlumatları dərc edərkən xüsusi ehtiyatlılıq nümayiş etdirməlidir.
