दैनिक ब्रीफिंग
क्लाउड ओपस 5 का उपयोग चेन्ड फ्लॉज़ के माध्यम से ओपनएआई स्टाफ खातों पर कब्ज़ा करने के लिए किया जाता था।
सुरक्षा शोधकर्ताओं ने क्लाउड ओपस 5 का लाभ उठाकर वेब और प्रमाणीकरण कमजोरियों को एक श्रृंखला में बदल दिया, जिससे उन्हें ओपनएआई के आंतरिक खातों और कोड रिपॉजिटरी तक पहुंच प्राप्त हुई।
5 खबरें3 मिनट पठन
सुरक्षा फर्म हैकट्रॉन के शोधकर्ताओं ने एंथ्रोपिक के क्लाउड ओपस 5 का उपयोग करके एआई-सहायता प्राप्त हमले की एक श्रृंखला का प्रदर्शन किया, जिसका उद्देश्य ओपनएआई के आंतरिक कर्मचारियों के खातों से समझौता करना और आंतरिक कोड रिपॉजिटरी तक पहुंच प्राप्त करना था।
इस हमले में ओपनएआई के सार्वजनिक सहायता मंच को संचालित करने वाले ओपन-सोर्स डिस्कोर्स सॉफ़्टवेयर में मौजूद एक खामी और ओपनएआई की कस्टम प्रमाणीकरण प्रणाली में मौजूद एक अन्य खामी का संयोजन किया गया था। इस संपूर्ण सुरक्षा उल्लंघन को अंजाम देने में 72 घंटे से भी कम समय लगा।
रिपोर्ट मिलने के 14 घंटों के भीतर OpenAI ने प्रमाणीकरण संबंधी त्रुटि को ठीक कर दिया और 1 सितंबर को शोध दल को 6,500 डॉलर का इनाम दिया। आंतरिक पहचान प्रदाताओं से जुड़े सार्वजनिक सामुदायिक मंचों का संचालन करने वाले संगठनों को क्रॉस-डोमेन प्रमाणीकरण सीमाओं की समीक्षा करनी चाहिए।
क्लाउड ओपस 5 ने कई खामियों के जाल के जरिए शोधकर्ताओं को ओपनएआई स्टाफ खातों पर कब्जा करने में मदद की।
हैकट्रॉन के शोधकर्ताओं ने ओपनएआई के सार्वजनिक सहायता फोरम सॉफ़्टवेयर में मौजूद खामी को ओपनएआई की लॉगिन प्रणाली की कमजोरी से जोड़ने के लिए एंथ्रोपिक के क्लाउड ओपस 5 का उपयोग किया। इससे उन्हें ओपनएआई कर्मचारियों के चैटजीपीटी और कोडेक्स खातों में सेंध लगाने में मदद मिली, और अंततः उन्होंने ओपनएआई के आंतरिक कोड रिपॉजिटरी तक अनधिकृत पहुंच प्राप्त कर ली।
- यह क्यों मायने रखता है
- चेन्ड ऑथेंटिकेशन और थर्ड-पार्टी फोरम बग्स एंटरप्राइज एसएसओ और आंतरिक डेवलपमेंट कोड रिपॉजिटरी को खतरे में डाल सकते हैं, जिससे संवेदनशील आईपी और कर्मचारी खाते उजागर हो सकते हैं।
शोधकर्ता होस्ट पर कमांड चलाने के लिए OpenAI Codex सैंडबॉक्स से बाहर निकल गए।
शोधकर्ताओं ने ओपनएआई के कोडेक्स सैंडबॉक्स से दो तरीकों से बाहर निकलने में सफलता प्राप्त की, जिनमें से एक तरीका डेवलपर की मशीन पर उसके सबसे सुरक्षित मोड से कमांड चलाना था।
- यह क्यों मायने रखता है
- प्रदान किए गए स्रोत पृष्ठ से कोई तकनीकी विवरण, विक्रेता पर प्रभाव या विशिष्ट भेद्यता संदर्भ प्राप्त नहीं किया जा सका।
ब्रैगजैक हमले दुर्भावनापूर्ण एक्सटेंशन के माध्यम से एआई ब्राउज़र एजेंटों को हाईजैक कर लेते हैं।
ब्रैगजैक, फॉरएवर सिक्योरिटी के गैल वेइज़मैन द्वारा विकसित एक प्रूफ-ऑफ-कॉन्सेप्ट अटैक है, जो एक दुर्भावनापूर्ण एक्सटेंशन का उपयोग करके क्रोम, एज, ओपेरा नियॉन, परप्लेक्सिटी कॉमेट और क्रोम में क्लाउड में मौजूद एआई असिस्टेंट को हाईजैक कर लेता है।
- यह क्यों मायने रखता है
- प्रदान किए गए स्रोत पृष्ठ से कोई तकनीकी विवरण, विक्रेता पर प्रभाव या विशिष्ट भेद्यता संदर्भ प्राप्त नहीं किया जा सका।
उत्तर कोरियाई वाटरप्लम हैकर्स ने दुनिया भर में 30,000 डिवाइसों को संक्रमित किया।
एक संयुक्त कानून प्रवर्तन परामर्श में चेतावनी दी गई है कि उत्तर कोरियाई हैकिंग समूह वाटरप्लम ने दिसंबर 2025 से जुलाई 2026 के बीच दुनिया भर में कम से कम 30,000 उपकरणों को हैक किया और चोरी की गई क्रिप्टोकरेंसी में 10.7 मिलियन डॉलर से अधिक की राशि उत्तर कोरिया को हस्तांतरित की।
- यह क्यों मायने रखता है
- प्रदान किए गए स्रोत पृष्ठ से कोई तकनीकी विवरण, विक्रेता पर प्रभाव या विशिष्ट भेद्यता संदर्भ प्राप्त नहीं किया जा सका।
ShinyHunters ने Clop लीक साइट को हैक किया, रैंसमवेयर गिरोह से फिरौती वसूलने की धमकी दी
शाइनीहंटर्स जबरन वसूली गिरोह ने क्लोप (उर्फ Cl0p) रैंसमवेयर ऑपरेशन की डेटा लीक साइट में सेंध लगाई, टोर साइट को विकृत किया और कथित तौर पर सर्वर डेटा और इसकी ओनियन सेवा के लिए निजी कुंजी चुरा ली।
- यह क्यों मायने रखता है
- प्रदान किए गए स्रोत पृष्ठ से कोई तकनीकी विवरण, विक्रेता पर प्रभाव या विशिष्ट भेद्यता संदर्भ प्राप्त नहीं किया जा सका।
मुख्य बिंदु
- हैकट्रॉन ने क्लाउड ओपस 5 का उपयोग करके डिस्कोर्स फोरम की एक भेद्यता को ओपनएआई लॉगिन खामी के साथ जोड़ दिया, जिससे कर्मचारियों के चैटजीपीटी और कोडेक्स खातों से समझौता हो गया।
- इस हमले की श्रृंखला ने प्रारंभिक विश्लेषण के 72 घंटों के भीतर ही ओपनएआई के आंतरिक कोड रिपॉजिटरी तक पहुंच को सक्षम बना दिया।
- ओपनएआई ने खामी का खुलासा होने के 14 घंटे बाद ही आंतरिक प्रमाणीकरण की खामी को ठीक कर दिया और 6,500 डॉलर का बग बाउंटी पुरस्कार दिया।