948件の権限昇格脆弱性を発見　AIが121万ドルを一度に投じて掘り尽くす 💥

🧭 群里聊方向

11月5日、OpenAIは自律型セキュリティエージェントがLinuxカーネルで948件の異なるローカル権限昇格脆弱性を発見し、1169件の実用可能なエクスプロイトも作成したと発表した。

API利用料の総額は121万ドル。脆弱性1件あたり1279ドルに相当する。

まず、この数字がどれほど異例なのかを見てみよう。

スキャンしたのはカーネルコード約280万行だけで、プロジェクト全体の7%。それでも2308件の候補を見つけ、1724件を動的に再現し、最終的に948件の異なる脆弱性にまとめた。

同じ成果を人力で掘り起こした場合、ハッキングコンテストで権限昇格エクスプロイト1件あたり2万〜7万ドルという相場で計算すると、潜在的な価値は1890万〜6630万ドルにのぼる。

つまりAIは、脆弱性研究のコストを従来の50分の1にまで引き下げたことになる。

さらに注目すべきなのは、7月に前世代のモデルが見つけた脆弱性は166件で、費用は51万3000ドルだったことだ。10月の新モデルは、カーネルに数か月分のパッチが適用された後でも、その5倍以上の脆弱性を発見した。しかも研究者が見たことのないエクスプロイト手法を少なくとも10種類使っており、古いデータから見つけ出したわけではない ⚠️

これは暗号資産業界にとって、対岸の火事ではない。

取引所のマッチングエンジン、フルノード、ウォレットのバックエンド、クラウドサーバーは、基本的にどれもLinuxで動いている。

ローカル権限昇格とは、攻撃者がまず一般ユーザーのアカウントを1つ手に入れれば、そこからroot権限まで駆け上がり、マシン全体を掌握できるということだ。

10月29日に起きた63億ドルの盗難事件も、侵入の入口は従業員のPCだった。ソーシャルエンジニアリングとマルウェアでまず足がかりを得て、その後にウォレットの権限を奪った。

これまで防御のボトルネックは脆弱性の発見だった。今やボトルネックは侵入の検知へと変わった 🦖

防御側も同じツールを使える。しかし、オープンソースのメンテナーや取引所に、ハッカーより先にパッチを公開するだけの人員がいるかどうかは、また別の話だ。

私が注目しているのはAIがどれほど強力かではない。次のセキュリティインシデントの検証で、「事前にパッチを当てておけば防げた」という言葉が出てくるかどうかだ。

コメント欄で教えてほしい。取引所を選ぶとき、緊急対応の速さとライセンス、どちらを先に見る？ 👀

毎日、暗号資産のセキュリティに関する注目トピックをお届けします。ニュースで何が起きたかを見るだけでなく、その背景にある仕組みやチャンスもわかりやすく解説します 🚀