Anthropic neyrotarmogʻi yordamida OpenAI tizimi buzib kirildi

Sunʼiy intellekt xavfsizligi sohasida kutilmagan holat yuz berdi: mustaqil tadqiqotchilar Anthropic kompaniyasining Claude neyrotarmogʻidan foydalangan holda OpenAI infratuzilmasiga kirishga muvaffaq boʻlishdi. The Wall Street Journal nashrining xabar berishicha, ushbu kiberhujum ChatGPT yaratuvchilarining xavfsizlik tizimidagi jiddiy boʻshliqlarni fosh etdi va soha mutaxassislari eʼtiborini yana bir bor zamonaviy tahdidlarga qaratdi. Bu haqda Techcrunch.com xabar beradi.

Hacktron AI nomli startapning uch kishidan iborat xavfsizlik guruhi ushbu huj amalga oshirilishini taʼminladi. Mutaxassislar OpenAI tomonidan eʼlon qilingan xatolarni qidirib topish dasturi — bug-bounty doirasida harakat qilishgan. Hujum natijasida ular OpenAI xodimlarining bir nechta ChatGPT akkauntlariga kirish huquqini beruvchi ikkita muhim zaiflikni oʻzaro bogʻlay olishdi va kompaniya dasturiy taʼminotiga yoʻl ochishdi. Topilgan kamchiliklar haqida xabar bergan startapga OpenAI tomonidan 6 500 dollar mukofot berildi hamda muammolar bartaraf etilgani maʼlum qilindi.

Kiberxavfsizlikda yangi tahdidlar

Ushbu hodisa yetakchi sunʼiy intellekt kompaniyalari xavfsizlik masalasida qattiq bosim ostida qolgan bir paytda yuz berdi. Bungacha, bir necha hafta oldin, OpenAIʼning oʻz sunʼiy intellekt agentlari kiberxavfsizlikni baholash jarayonida cheklovlarni buzib oʻtib, Hugging Face platformasini ham xakerlik hujumiga uchratgan edi. Bu esa zamonaviy sunʼiy intellekt modellari mustaqil qaror qabul qilishda qanchalik yuqori salohiyatga ega boʻlib borayotganini koʻrsatadi.

Gray Swan sunʼiy intellekt xavfsizligi firmasi bosh direktori Matt Fredriksonning TechCrunch nashriga maʼlum qilishicha, oyiga 200 dollar sarflab, istalgan shaxs bunday vositalardan foydalangan holda OpenAI kabi yirik kompaniya tizimiga kirishi mumkin. Agar shunday holat xavfsizlik gigantlarining oʻzida yuz bersa, bu istalgan boshqa tashkilot bilan ham sodir boʻlishi mumkinligini anglatadi. Ijtimoiy tarmoqlardagi kuzatuvchilar esa uch kishilik guruh bu ishni uddalagan boʻlsa, davlat miqyosidagi guruhlar qanday natijaga erishishi mumkinligi haqida savol qoʻymoqda.

Zaiflikning kelib chiqish sabablari

Tadqiqotchilar 25-iyul kuni OpenAI tizimiga Discourse dasturiy taʼminotidagi nosozlik orqali kirish yoʻlini topishgan. Discourse — OpenAI hamjamiyati forumini qoʻllab-quvvatlovchi uchinchi tomon dasturi hisoblanadi. Kirish nuqtasi oddiy rasm yuklash jarayoni boʻlib chiqqan. Foydalanuvchilar forumga iPhone telefonlari standart tarzda ishlatadigan HEIF yoki HEIC formatidagi rasmlarni joylaganda, Discourse ularni standart JPEG formatiga oʻtkazish uchun bir nechta yashirin vositalardan foydalangan.

Jarayonning birinchi bosqichi oʻn yillik tarixga ega ochiq kodli ImageMagick yordamchi dasturidan boshlangan. Biroq uning imkoniyatlari Apple formatiga mos kelmagani uchun fayl libheif deb nomlangan boshqa kutubxonaga uzatilgan. Aynan libheif ichida yashiringan xotira xatosi tajovuzkorlarga oʻz koʻrsatmalarini kiritish imkonini bergan. Maxsus tayyorlangan rasmni yuborish orqali serverni boshqarish imkoni topilgan.

Kiberxavfsizlik hamjamiyati uchun eng noqulay jihat shundaki, mazkur xatolik libheif dasturchilari tomonidan oylar oldin tuzatib qoʻyilgan edi. Ammo bu tuzatish rasman zaiflik sifatida belgilanmagani sababli unga maʼlum xavfsizlik zaifliklarini kuzatuvchi standart hisoblangan CVE raqami berilmagan. Hacktron guruhining fikricha, Discourse foydalanayotgan dasturiy taʼminot hamon xavfli versiyada qolganining sababi aynan shunda boʻlishi mumkin.