XMASKNEWS
Aktualizacja:
SecurityWeekEN→PLAI

Sfałszowane zadanie rekrutacyjne i nadużycie narzędzi AI umożliwiły kradzież 6 miliardów dolarów z Binance

Pierwszy raport Binance dotyczący rekordowej kradzieży ujawnia wielomiesięczną kampanię, która doprowadziła do przejęcia komputerów trzech inżynierów.

W wyniku ataku skradziono aktywa takie jak XRP, SOL, OP oraz BTC. Binance podjęło kroki w celu odbudowy systemów portfeli, wymiany urządzeń oraz unieważnienia skompromitowanych poświadczeń. Firma zapowiedziała również współpracę z zewnętrznymi firmami bezpieczeństwa oraz stworzenie funduszu badawczego nad bezpieczeństwem AI w blockchainie.

Źródło: SecurityWeek
Przeczytaj oryginał (EN) ↗

Omówienie przygotowane automatycznie (AI) na podstawie artykułu SecurityWeek. Nie jest tłumaczeniem – szczegóły i pełny kontekst znajdziesz w oryginale.

Czytaj też

Help Net SecurityEN→PL

Impart wykorzystuje AI do tworzenia wirtualnych łatek bez ingerencji modeli w ścieżkę ruchu

Impart Security wprowadza Runtime Defense Harness – środowisko, w którym agenci AI tworzą i testują wirtualne łatki na nowe podatności, nie obciążając przy tym bezpośrednio ruchu sieciowego.

Czego się uczymy
  • Wirtualne łatki (virtual patching) mogą być wdrażane jako deterministyczny kod WebAssembly, co zapewnia powtarzalność decyzji bez narzutu wydajnościowego typowego dla wnioskowania AI w locie.
  • Automatyzacja tworzenia reguł przez AI powinna odbywać się w odizolowanym środowisku (harness), gdzie agenci mają ograniczony dostęp, a ostateczna decyzja o wdrożeniu należy do człowieka.
AI
SecurityWeek AIEN→PL

Wzrost liczby naruszeń związanych z AI: WorkOS, Northflank i Trigger.dev padły ofiarą ataków

Hakerzy masowo kradną tokeny dostępu do usług AI, aby je monetyzować, oraz wykorzystują narzędzia oparte na sztucznej inteligencji do automatyzacji ataków.

Czego się uczymy
  • Należy monitorować i rotować poświadczenia (credentials) oraz tokeny API, szczególnie jeśli są one przechowywane w środowiskach deweloperskich lub przez dostawców trzecich.
  • Warto wdrożyć rygorystyczną kontrolę dostępu do platform hostingowych i konsol deweloperskich, które stanowią punkt styku dla wielu kluczy dostępu do usług AI.
AI
SekurakPL

Luka w popularnym ChatGPT: wystarczyło kliknąć w link do udostępnionej konwersacji, aby stracić kontrolę nad kontem

Badacze bezpieczeństwa z firmy Parameter wykryli lukę bezpieczeństwa w popularnym ChatGPT. Za pomocą linku do współdzielenia konwersacji istniała możliwość wykonania złośliwego kodu w kontekście sesji zalogowanego użytkownika. Nie trzeba…

Czego się uczymy
  • Należy weryfikować pochodzenie i zawartość komunikatów przesyłanych przez postMessage, sprawdzając parametry event.origin oraz event.source.
  • Polityka CSP powinna być skonfigurowana tak, aby uniemożliwiać obejście zabezpieczeń poprzez zaufane domeny (np. YouTube) za pomocą mechanizmów typu oembed.
AI