ソフトウェアの脆弱性

OpenAIは、同社が近日中に発表するAstraモデルが、人工的な介入なしに以前は知られていなかったソフトウェアの脆弱性を自律的に発見し、それを利用可能な攻撃手段に変換できることを示しています。このモデルは、同社が「重大」（Critical）なサイバーセキュリティ能力レベルの閾値に達した初のモデルとなります。OpenAIは火曜日に発表したブログ記事で、同社のPreparedness Frameworkに基づき、このレベルに達することは、モデルが人工的な介入なしに、強化された実際のシステム内でゼロデイ脆弱性を発見し、利用可能なエクスプロイトコードを開発できることを意味すると述べています。また、高レベルの目標のみで攻撃を設計し実行できることも含まれます。テストでは、Astraは既知の脆弱性に基づいて開発されたエクスプロイトコードのベンチマークテストで100%の成績を収め、別の内部テストでは以前は知られていなかった2つの脆弱性を発見しました。さらに、このモデルは強化されたブラウザサンドボックスを突破し、ホストマシン上でコマンドを実行することに成功し、オペレーティングシステム内の複数の弱点を組み合わせることでroot権限を取得しました。OpenAIは、セキュリティ対策を強化するためにAstraの一部の開発進捗を遅らせており、最先端のサイバーセキュリティ能力を選ばれたテスターのみに開放する計画を立てています。この能力は暗号業界に特に関連性が高く、ソフトウェアの脆弱性は数分で資金の損失に変わる可能性があります。CoinDeskは今年6月に、ますます強力なAIモデルがコードの検索、誤った設定の発見、攻撃の組み立てを数日または数週間から機械の速度に圧縮できると報じました。当時、セキュリティ研究者は、より大きな変化は新しい攻撃のカテゴリーが出現することではなく、既存の脆弱性が発見され利用される速度が大幅に向上することだと指摘しました。

ChainCatcher のメッセージによると、Protos の報告で、Bitcoin Core 開発者が新しい高危険警告を発表し、6つのビットコインノードのうち1つにソフトウェアの脆弱性が存在することが明らかになりました。木曜日、98%以上の到達可能なフルノードで動作するソフトウェアを維持する責任を持つオープンソースの Bitcoin Core プロジェクトのスタッフは、ネットワークの17%のノードで動作するソフトウェアに重大なセキュリティ問題があることを明らかにしました。具体的には、Bitcoin Core バージョン 24.0.1 未満のすべてのソフトウェアがリスクにさらされています。Bitnodes の監視推定によると、このサービス拒否の脆弱性は、アクセス可能なビットコインフルノードの19,200の自称ユーザーエージェントのうち約3,330に影響を与えています。24.0.1 バージョン以前の Bitcoin Core ソフトウェアでは、悪意のある行為者が低難易度のヘッダーリンクを使用してノードにスパムを送信することが可能でした。ノードに非常に長いヘッダーリンクをダウンロードして保存させることで、攻撃は過剰な帯域幅やデバイスのストレージスペースを占有することによってノードをクラッシュさせる可能性があります。開発者は、Bitcoin Core のプルリクエスト（PR）番号 25717 でこの脆弱性を修正し、2022年12月12日に v24.0.1 バージョンのリリースとともに生産に統合しました。現在の Bitcoin Core ノードソフトウェアのバージョン（現在は 27.1）は、この脆弱性とその他の脆弱性の修正を含んでいます。この脆弱性はかなり深刻ですが、公開記録に知られているこの脆弱性を利用した攻撃の事例は少ないです。ブロックヘッダーリンクを生成して放送してサービス拒否攻撃を実行するコストが非常に高いため、この脆弱性は攻撃者にとってほとんど経済的利益がありません。