תדריך יומי
קלוד אופוס 5 השתלט בעבר על חשבונות עובדי OpenAI באמצעות Chained Flaws
חוקרי אבטחה ניצלו את Claude Opus 5 כדי לשרשר פגיעויות אינטרנט ואימות, וקיבלו גישה לחשבונות פנימיים ולמאגרי קוד של OpenAI.
5 ידיעות2 דקות קריאה
חוקרים בחברת האבטחה Hacktron הדגימו שרשרת תקיפה בסיוע בינה מלאכותית באמצעות Claude Opus 5 של Anthropic כדי לפרוץ לחשבונות פנימיים של צוות OpenAI ולגשת למאגרי קוד פנימיים.
ההתקפה שילבה פגיעות בתוכנת הקוד הפתוח Discourse, המפעילה את פורום העזרה הציבורי של OpenAI, עם פגם משני במערכת האימות המותאמת אישית של OpenAI. ביצוע הפריצה מקצה לקצה ארכה פחות מ-72 שעות.
OpenAI תיקנה את באג האימות תוך 14 שעות מקבלת הדיווח והעניקה פרס של 6,500 דולר לצוות המחקר ב-1 בספטמבר. ארגונים המפעילים פורומים קהילתיים ציבוריים המקושרים לספקי זהויות פנימיים צריכים לבחון מחדש את גבולות האימות בין-דומיינים.
קלוד אופוס 5 עזר לחוקרים להשתלט על חשבונות צוות של OpenAI באמצעות פגמים משורשרים
חוקרים ב-Hacktron השתמשו ב-Claude Opus 5 של Anthropic כדי לקשר פגם בתוכנת פורום העזרה הציבורי של OpenAI עם חולשה במערכת ההתחברות של OpenAI. זה איפשר להם לפרוץ לחשבונות ChatGPT ו-Codex של עובדי OpenAI, ובסופו של דבר להשיג גישה לא מורשית למאגר קוד פנימי של OpenAI.
- למה זה חשוב
- אימות משורשר ובאגים בפורומים של צד שלישי עלולים לפגוע ב-SSO של הארגון ובמאגרי קוד פיתוח פנימיים, ולחשוף כתובות IP וחשבונות עובדים רגישים.
חוקרים נמלטים מארגז החול של OpenAI Codex כדי להריץ פקודות על מחשב המארח
חוקרים נמלטו מארגז החול של קודקס של OpenAI בשתי דרכים, אחת מהן הייתה הפעלת פקודות על מחשב של מפתח ממצב נעול ביותר שלו.
- למה זה חשוב
- לא ניתן היה לאחזר פרטים טכניים, השפעת הספק או הקשר ספציפי של פגיעויות מדף המקור שסופק.
מתקפות BragJack חוטפות סוכני דפדפן של בינה מלאכותית באמצעות תוספים זדוניים
BragJack, מתקפת הוכחת היתכנות של גל ויצמן מ-Forever Security, חוטפת את עוזרי הבינה המלאכותית בכרום, אדג', אופרה ניאון, פרפלקסיטי קומט וקלוד בכרום באמצעות תוסף זדוני אחד.
- למה זה חשוב
- לא ניתן היה לאחזר פרטים טכניים, השפעת הספק או הקשר ספציפי של פגיעויות מדף המקור שסופק.
האקרים של חברת WaterPlum הצפון קוריאנית הדביקו 30,000 מכשירים ברחבי העולם
הודעת אכיפת חוק משותפת מזהירה כי קבוצת ההאקרים הצפון קוריאנית WaterPlum פרצה לפחות 30,000 מכשירים ברחבי העולם מדצמבר 2025 עד יולי 2026 והעבירה לצפון קוריאה מטבעות קריפטוגרפיים גנובים בסכום של יותר מ-10.7 מיליון דולר.
- למה זה חשוב
- לא ניתן היה לאחזר פרטים טכניים, השפעת הספק או הקשר ספציפי של פגיעויות מדף המקור שסופק.
ShinyHunters פורצת לאתר הדליפה של Clop ומאיימת לסחוט כנופיית תוכנות כופר
כנופיית הסחיטה ShinyHunters פרצה לאתר דליפת הנתונים של מבצע הכופר Clop (הידוע גם כ-Cl0p), השחיתה את אתר Tor וגנבה לכאורה נתוני שרת ומפתחות פרטיים עבור שירות ה-onion שלה.
- למה זה חשוב
- לא ניתן היה לאחזר פרטים טכניים, השפעת הספק או הקשר ספציפי של פגיעויות מדף המקור שסופק.
עיקרי הדברים
- Hacktron השתמשה ב-Claude Opus 5 כדי לשרשר פגיעות בפורום Discourse עם פגם בכניסה ל-OpenAI, ופגעה בחשבונות ChatGPT ו-Codex של הצוות.
- שרשרת התקיפה אפשרה גישה למאגר קוד פנימי של OpenAI תוך 72 שעות ממועד הניתוח הראשוני.
- OpenAI תיקנה את פגם האימות הפנימי 14 שעות לאחר הגילוי וקבעה פרס של 6,500 דולר.