สรุปข่าวประจำวัน
Claude Opus 5 ถูกใช้เพื่อเข้าควบคุมบัญชีพนักงาน OpenAI ผ่านช่องโหว่แบบลูกโซ่
นักวิจัยด้านความปลอดภัยใช้ Claude Opus 5 เพื่อเชื่อมโยงช่องโหว่ด้านเว็บและการตรวจสอบสิทธิ์ ทำให้สามารถเข้าถึงบัญชีภายในและที่เก็บโค้ดของ OpenAI ได้
5 ข่าวอ่าน 1 นาที
นักวิจัยจากบริษัทรักษาความปลอดภัย Hacktron ได้สาธิตกระบวนการโจมตีที่ใช้ AI ช่วย โดยใช้ Claude Opus 5 ของ Anthropic เพื่อเจาะบัญชีผู้ใช้งานภายในของเจ้าหน้าที่ OpenAI และเข้าถึงคลังเก็บโค้ดภายใน
การโจมตีครั้งนี้เป็นการใช้ประโยชน์จากช่องโหว่ในซอฟต์แวร์โอเพนซอร์ส Discourse ซึ่งเป็นซอฟต์แวร์หลักของฟอรัมช่วยเหลือสาธารณะของ OpenAI ร่วมกับช่องโหว่อีกจุดหนึ่งในระบบการตรวจสอบสิทธิ์แบบกำหนดเองของ OpenAI การโจมตีแบบครบวงจรนี้ใช้เวลาดำเนินการไม่ถึง 72 ชั่วโมง
OpenAI ได้แก้ไขข้อผิดพลาดในการตรวจสอบสิทธิ์ภายใน 14 ชั่วโมงหลังจากได้รับรายงาน และมอบรางวัล 6,500 ดอลลาร์สหรัฐให้แก่ทีมวิจัยเมื่อวันที่ 1 กันยายน องค์กรที่ดำเนินการฟอรัมชุมชนสาธารณะที่เชื่อมโยงกับผู้ให้บริการยืนยันตัวตนภายในควรตรวจสอบขอบเขตการตรวจสอบสิทธิ์ข้ามโดเมน
Claude Opus 5 ช่วยให้นักวิจัยเข้ายึดบัญชีพนักงาน OpenAI ผ่านช่องโหว่แบบลูกโซ่
นักวิจัยจาก Hacktron ใช้ Claude Opus 5 ของ Anthropic เพื่อเชื่อมโยงช่องโหว่ในซอฟต์แวร์ฟอรัมช่วยเหลือสาธารณะของ OpenAI กับจุดอ่อนในระบบล็อกอินของ OpenAI ส่งผลให้พวกเขาสามารถเจาะเข้าไปในบัญชี ChatGPT และ Codex ของเจ้าหน้าที่ OpenAI และในที่สุดก็สามารถเข้าถึงคลังเก็บโค้ดภายในของ OpenAI โดยไม่ได้รับอนุญาต
- เหตุใดจึงสำคัญ
- การตรวจสอบสิทธิ์แบบต่อเนื่องและข้อบกพร่องในฟอรัมของบุคคลที่สามอาจทำให้ระบบ SSO ขององค์กรและที่เก็บโค้ดสำหรับการพัฒนาภายในถูกบุกรุก ส่งผลให้ทรัพย์สินทางปัญญาที่สำคัญและบัญชีพนักงานถูกเปิดเผย
นักวิจัยหลุดออกจากแซนด์บ็อกซ์ของ OpenAI Codex เพื่อรันคำสั่งบนเครื่องโฮสต์
นักวิจัยสามารถหลุดออกจากระบบรักษาความปลอดภัย Codex ของ OpenAI ได้สองวิธี วิธีแรกคือการรันคำสั่งบนเครื่องของนักพัฒนาในโหมดที่มีการรักษาความปลอดภัยสูงสุด
- เหตุใดจึงสำคัญ
- ไม่สามารถดึงรายละเอียดทางเทคนิค ผลกระทบต่อผู้จำหน่าย หรือบริบทช่องโหว่เฉพาะใดๆ จากหน้าซอร์สโค้ดที่ให้มาได้
BragJack โจมตีโดยการเข้าควบคุมเอเจนต์ AI ในเบราว์เซอร์ผ่านส่วนขยายที่เป็นอันตราย
BragJack ซึ่งเป็นตัวอย่างการโจมตีจาก Gal Weizman แห่ง Forever Security เข้าควบคุมผู้ช่วย AI ใน Chrome, Edge, Opera Neon, Perplexity Comet และ Claude ใน Chrome โดยใช้ส่วนขยายที่เป็นอันตรายเพียงตัวเดียว
- เหตุใดจึงสำคัญ
- ไม่สามารถดึงรายละเอียดทางเทคนิค ผลกระทบต่อผู้จำหน่าย หรือบริบทช่องโหว่เฉพาะใดๆ จากหน้าซอร์สโค้ดที่ให้มาได้
แฮกเกอร์ชาวเกาหลีเหนือที่ใช้เทคโนโลยี WaterPlum ได้แพร่เชื้อไปยังอุปกรณ์กว่า 30,000 เครื่องทั่วโลก
คำเตือนร่วมจากหน่วยงานบังคับใช้กฎหมายระบุว่า กลุ่มแฮ็กเกอร์ชาวเกาหลีเหนือชื่อ WaterPlum ได้เจาะระบบอุปกรณ์อย่างน้อย 30,000 เครื่องทั่วโลก ตั้งแต่เดือนธันวาคม 2025 ถึงเดือนกรกฎาคม 2026 และโอนเงินสกุลคริปโตที่ถูกขโมยไปมากกว่า 10.7 ล้านดอลลาร์สหรัฐไปยังเกาหลีเหนือ
- เหตุใดจึงสำคัญ
- ไม่สามารถดึงรายละเอียดทางเทคนิค ผลกระทบต่อผู้จำหน่าย หรือบริบทช่องโหว่เฉพาะใดๆ จากหน้าซอร์สโค้ดที่ให้มาได้
ShinyHunters แฮ็กเว็บไซต์ที่ปล่อยข้อมูล Clop และขู่เรียกค่าไถ่จากแก๊งแรนซอมแวร์
กลุ่มเรียกค่าไถ่ ShinyHunters ได้เจาะเข้าไปในเว็บไซต์รั่วไหลข้อมูลของปฏิบัติการแรนซัมแวร์ Clop (หรือที่รู้จักกันในชื่อ Cl0p) ทำลายเว็บไซต์ Tor และกล่าวหาว่าขโมยข้อมูลเซิร์ฟเวอร์และรหัสส่วนตัวสำหรับบริการ Onion ของพวกมัน
- เหตุใดจึงสำคัญ
- ไม่สามารถดึงรายละเอียดทางเทคนิค ผลกระทบต่อผู้จำหน่าย หรือบริบทช่องโหว่เฉพาะใดๆ จากหน้าซอร์สโค้ดที่ให้มาได้
ประเด็นสำคัญ
- Hacktron ใช้ Claude Opus 5 ในการเชื่อมโยงช่องโหว่ของฟอรัม Discourse กับช่องโหว่การเข้าสู่ระบบของ OpenAI ส่งผลให้บัญชี ChatGPT และ Codex ของเจ้าหน้าที่ถูกบุกรุก
- ห่วงโซ่การโจมตีดังกล่าวทำให้สามารถเข้าถึงคลังเก็บโค้ดภายในของ OpenAI ได้ภายใน 72 ชั่วโมงหลังจากการวิเคราะห์เบื้องต้น
- OpenAI แก้ไขช่องโหว่การตรวจสอบสิทธิ์ภายในภายใน 14 ชั่วโมงหลังจากมีการเปิดเผย และมอบรางวัลนำจับช่องโหว่มูลค่า 6,500 ดอลลาร์สหรัฐ