948 ثغرة لرفع الصلاحيات — ذكاء اصطناعي واحد اكتشفها دفعة واحدة مقابل 1.21 مليون دولار 💥
🧭 群里聊方向
في 5 نوفمبر، أعلنت OpenAI أن وكيلها الأمني المستقل عثر على 948 ثغرة مختلفة لرفع الصلاحيات محليًا في نواة Linux، وكتب أيضًا 1169 أداة استغلال قابلة للاستخدام.
بلغت التكلفة الإجمالية 1.21 مليون دولار من رصيد API، أي ما يعادل 1279 دولارًا لكل ثغرة.
لنبدأ بمدى غرابة هذه الأرقام.
فقد فحص نحو 2.8 مليون سطر من شيفرة النواة فقط، أي 7% من المشروع بأكمله، وطرح 2308 ثغرات مرشحة، وأعاد إنتاج 1724 منها ديناميكيًا، ثم جمعها في 948 ثغرة مختلفة.
لو جرى الوصول إلى النتيجة نفسها بجهد بشري، وبحسب أسعار مسابقات القرصنة التي تتراوح بين 20 ألفًا و70 ألف دولار لكل استغلال لرفع الصلاحيات، لبلغت قيمتها الضمنية ما بين 18.9 مليونًا و66.3 مليون دولار.
أي أن الذكاء الاصطناعي خفّض تكلفة أبحاث الثغرات إلى واحد على خمسين من كلفتها الأصلية.
والأكثر لفتًا للانتباه أن الجيل السابق من النماذج عثر في يوليو على 166 ثغرة مقابل 513 ألف دولار. أما إصدار أكتوبر، فعثر على أكثر من خمسة أضعاف ذلك، حتى بعد أشهر من ترقيع النواة، واستخدم ما لا يقل عن 10 أساليب استغلال لم يرها الباحثون من قبل. لم تكن هذه الثغرات مستخرجة من بيانات قديمة ⚠️
هذا الأمر ليس خبرًا عابرًا بالنسبة إلى عالم العملات المشفرة.
فمحركات المطابقة في منصات التداول، والعُقد الكاملة، والأنظمة الخلفية للمحافظ، والخوادم السحابية، تعمل في الأساس كلها على Linux.
رفع الصلاحيات محليًا يعني أن المهاجم، ما إن يحصل على حساب عادي، يستطيع التدرج حتى يصل إلى صلاحيات root والاستيلاء على الجهاز بأكمله.
في حادثة السرقة التي وقعت في 29 أكتوبر وبلغت قيمتها 6.3 مليارات دولار، كان المدخل حاسوبًا لأحد الموظفين. فقد استُخدم الهندسة الاجتماعية والبرمجيات الخبيثة أولًا لتأمين موطئ قدم، ثم جاء الوصول إلى صلاحيات المحفظة.
كان عنق الزجاجة في الدفاع سابقًا هو العثور على الثغرات، أما الآن فأصبح اكتشاف الاختراقات 🦖
يمكن للمدافعين استخدام الأدوات نفسها، لكن يبقى سؤال ما إذا كان لدى مطوري البرمجيات مفتوحة المصدر ومنصات التداول ما يكفي من الأفراد لنشر التصحيحات قبل القراصنة مسألة أخرى.
ما أراقبه ليس مدى قوة الذكاء الاصطناعي، بل ما إذا كنا سنسمع في مراجعة الحادث الأمني القادم عبارة: «كان من الممكن تثبيت التصحيح مسبقًا».
لنتحدث في التعليقات: عندما تختار منصة تداول، هل تنظر أولًا إلى سرعة الاستجابة للطوارئ أم إلى الترخيص؟ 👀
أتابع معك يوميًا أبرز مستجدات أمن العملات المشفرة؛ ليس فقط لمعرفة ما حدث، بل أيضًا لفهم المنطق والفرص الكامنة وراءه 🚀
🧭 群里聊方向
في 5 نوفمبر، أعلنت OpenAI أن وكيلها الأمني المستقل عثر على 948 ثغرة مختلفة لرفع الصلاحيات محليًا في نواة Linux، وكتب أيضًا 1169 أداة استغلال قابلة للاستخدام.
بلغت التكلفة الإجمالية 1.21 مليون دولار من رصيد API، أي ما يعادل 1279 دولارًا لكل ثغرة.
لنبدأ بمدى غرابة هذه الأرقام.
فقد فحص نحو 2.8 مليون سطر من شيفرة النواة فقط، أي 7% من المشروع بأكمله، وطرح 2308 ثغرات مرشحة، وأعاد إنتاج 1724 منها ديناميكيًا، ثم جمعها في 948 ثغرة مختلفة.
لو جرى الوصول إلى النتيجة نفسها بجهد بشري، وبحسب أسعار مسابقات القرصنة التي تتراوح بين 20 ألفًا و70 ألف دولار لكل استغلال لرفع الصلاحيات، لبلغت قيمتها الضمنية ما بين 18.9 مليونًا و66.3 مليون دولار.
أي أن الذكاء الاصطناعي خفّض تكلفة أبحاث الثغرات إلى واحد على خمسين من كلفتها الأصلية.
والأكثر لفتًا للانتباه أن الجيل السابق من النماذج عثر في يوليو على 166 ثغرة مقابل 513 ألف دولار. أما إصدار أكتوبر، فعثر على أكثر من خمسة أضعاف ذلك، حتى بعد أشهر من ترقيع النواة، واستخدم ما لا يقل عن 10 أساليب استغلال لم يرها الباحثون من قبل. لم تكن هذه الثغرات مستخرجة من بيانات قديمة ⚠️
هذا الأمر ليس خبرًا عابرًا بالنسبة إلى عالم العملات المشفرة.
فمحركات المطابقة في منصات التداول، والعُقد الكاملة، والأنظمة الخلفية للمحافظ، والخوادم السحابية، تعمل في الأساس كلها على Linux.
رفع الصلاحيات محليًا يعني أن المهاجم، ما إن يحصل على حساب عادي، يستطيع التدرج حتى يصل إلى صلاحيات root والاستيلاء على الجهاز بأكمله.
في حادثة السرقة التي وقعت في 29 أكتوبر وبلغت قيمتها 6.3 مليارات دولار، كان المدخل حاسوبًا لأحد الموظفين. فقد استُخدم الهندسة الاجتماعية والبرمجيات الخبيثة أولًا لتأمين موطئ قدم، ثم جاء الوصول إلى صلاحيات المحفظة.
كان عنق الزجاجة في الدفاع سابقًا هو العثور على الثغرات، أما الآن فأصبح اكتشاف الاختراقات 🦖
يمكن للمدافعين استخدام الأدوات نفسها، لكن يبقى سؤال ما إذا كان لدى مطوري البرمجيات مفتوحة المصدر ومنصات التداول ما يكفي من الأفراد لنشر التصحيحات قبل القراصنة مسألة أخرى.
ما أراقبه ليس مدى قوة الذكاء الاصطناعي، بل ما إذا كنا سنسمع في مراجعة الحادث الأمني القادم عبارة: «كان من الممكن تثبيت التصحيح مسبقًا».
لنتحدث في التعليقات: عندما تختار منصة تداول، هل تنظر أولًا إلى سرعة الاستجابة للطوارئ أم إلى الترخيص؟ 👀
أتابع معك يوميًا أبرز مستجدات أمن العملات المشفرة؛ ليس فقط لمعرفة ما حدث، بل أيضًا لفهم المنطق والفرص الكامنة وراءه 🚀