Képzelje el, hogy a Firefox 200 millió felhasználója közé tartozik: megnyit egy weboldalt, az oldal betöltődik, és nem kattint semmire. Látszólag nincs mitől tartani. Egy új kísérletsorozat azonban azt mutatja, hogy maga az oldal betöltése is elég lehetett ahhoz, hogy egy támadó fájlokat olvasson a számítógépéről, illetve ellopja a böngészőben tárolt jelszavakat vagy hitelesítési sütiket — letöltés, felugró ablak vagy engedélykérés nélkül. Röviden: a támadó elég információt szerezhetett ahhoz, hogy egyes szolgáltatásokba az ön nevében lépjen be.
Mi történt: GLM 5.3 és a patch-gap
A kísérletekben GLM 5.3-at, a Z.ai által augusztusban kiadott, nyílt súlyú modellt használták. A modell képes volt önállóan újrajátszani a közelgő Firefox-sebezhetőséget javító kódváltozásokat, és ezek alapján olyan weboldalt generálni, amit egy Firefox-felhasználó meglátogatva fájlokat olvasott ki a látogató számítógépéről, majd elküldte azokat a támadónak — további felhasználói interakció nélkül.
A javítás publikálása és a frissítés eljutása a felhasználókhoz közti időablakot "patch gap"-nek (javítási hézag) nevezik. Ez a gyakorlat ismert gyengeség, és most fokozottan számít, mert a modellek egyre jobbá válnak a sérülékenységek feltárásában és kihasználásában.
Módszer és költségek
A kutatók olyan feltételezésekkel dolgoztak, mintha egy kevés erőforrással rendelkező, nem különösebben tapasztalt támadó lennének: csak a kiadáskori információk álltak rendelkezésre. A teljes kutatás költsége az API-hívásokra több mint 100 000 dollár volt, amely tartalmazta az offline környezet kiépítéséhez és a kezdeti tesztekhez szükséges kísérletezést. Miután a környezet elkészült, egy-egy sikeres támadáshoz nagyjából 1 000 dollárnyi számítási erőforrásra volt szükség. A kutatók GLM 5.3-nak legfeljebb 48 órát adtak egy exploitszerzésre; a modell leggyorsabb próbálkozása 12 órát vett igénybe.
Hatékony kihasználás: több hibát láncolva
A GLM 5.3 több sérülékenységet láncolt össze: egy megfigyelt, közelgő Firefox-javítást (például memóriahibára vonatkozó javítást) felhasználva képes volt memória olvasására és módosítására a böngészőben. A kezdeti exploitok azonban önmagukban még nem tették lehetővé a célfájl olvasását a Firefox védelmi mechanizmusai miatt, ezért a modell további stádiumokat kombinált, összeomlásokat diagnosztizált, sikertelen megközelítéseket elvetett, és iterálva eljutott odáig, hogy pusztán az oldal meglátogatása elegendő legyen a hozzáféréshez.
A kísérletek azokon a Firefox-verziókon (hat verzión) voltak sikeresek, amelyek 2023. szeptember 17. és 2023. október 26. között jelentek meg. A kutatók megosztották a talált, a publikált javításon túli, különálló sérülékenységet a Mozilla-val; ezt a hibát 2023. október 27-én a Firefox 159.0 kiadásban javították.
Egyéb böngészők és modellek
Hasonló módszerekkel végzett kísérletek Google Chrome ellen nem vezettek sikerre, annak ellenére, hogy a kutatás a Chrome-t célzó próbálkozásoknál is körülbelül 100 000 dollárnyi számítási költséget emésztett fel. A kutatók azonban nem tekintik ezt erős bizonyítéknak arra, hogy a Chrome biztonságban van: nagyobb tapasztalatú támadások, más promptok vagy erősebb nyílt súlyú modellek (például a Kimi K3.1 Pro súlyai, amelyek korai novemberi megjelenése körül várhatók) más eredményt hozhatnak; a korai benchmarkadatok arra utalnak, hogy a Kimi K3.1 Pro ilyen feladatokban erősebb lehet, mint a GLM 5.3.
Miért fontos ez és mit lehet tenni?
A nyílt forrású projektek különösen ki vannak téve a patch-gap típusú támadásoknak, de a probléma tágabb: az AI egyre jobbá válik abban is, hogy futtatható programokat visszaalakítson használható kódokká, így képes lehet a javító kódok elemzésére akkor is, ha a javítás nem nyilvános. Anthropic például demonstrálta, hogy Mythos képes volt erre Windowson.
A javasolt védekezési irányok közé tartozik, hogy a javítások titokban maradjanak, amíg telepíthetők, gyorsítsák fel a béta-kiadásokból a stabil kiadások felé történő szállítást, és lehetőség szerint ne egyszerre több, láncolható hibát javítsanak ugyanabban a kiadásban.
Bár a Firefox és a Google Chrome jelenleg hetente szállít frissítéseket, ez lehet, hogy még mindig nem elég gyors: a kutatók exploitokat elő tudtak állítani két napon belül, és a valódi támadók ennél is gyorsabbak lehetnek. A kutatók szerint érdemes feltételezni, hogy ha egy javítás publikussá válik, a támadók felhasználhatják azt a jelenlegi kiadás elleni célzott támadásokhoz.
Következtetés
A kísérletek rámutatnak arra, hogy a nyílt súlyú, könnyen hozzáférhető AI-modellek csökkentik a technikai belépési küszöböt a patch-gap típusú támadásokhoz. Ez növeli annak jelentőségét, hogy a fejlesztők csökkentsék azt az időablakot, amely alatt egy publikált javítás a végfelhasználókhoz eljut, és felülvizsgálják a javítások közzétételi és telepítési folyamatait.
