XMASKNEWS
Aktualizacja:
Help Net SecurityEN→PLAI

Scytale MCP umożliwia narzędziom AI ograniczony, tylko do odczytu dostęp do danych dotyczących zgodności

Scytale wprowadza Scytale MCP, serwer wykorzystujący Model Context Protocol, który pozwala modelom takim jak Claude czy ChatGPT na bezpośrednie odpytywanie danych o zgodności (compliance) w czasie rzeczywistym.

Firma Scytale zaprezentowała rozwiązanie Scytale MCP, oparte na otwartym standardzie Model Context Protocol (MCP) wprowadzonym przez Anthropic. Narzędzie to pozwala na bezpośrednie połączenie modeli AI, takich jak Claude czy ChatGPT, z systemami zarządzania zgodnością (compliance) organizacji. Zamiast ręcznego eksportowania danych lub żmudnej nawigacji po panelach, użytkownicy mogą zadawać pytania w języku naturalnym, aby uzyskać natychmiastowe raporty lub statusy audytów.

Czytaj też

The Hacker NewsEN→PL

Jak przeprowadzić ćwiczenia gotowości na deepfake, zanim sklonowany głos zadzwoni do Twojego zespołu

Sklonowane głosy i syntetyczne wideo są wykorzystywane w oszustwach płatniczych i przy resetowaniu haseł. Strukturalne ćwiczenia pozwalają sprawdzić, gdzie zawodzi weryfikacja, zanim dojdzie do realnego ataku.

Czego się uczymy
  • Wprowadź zasadę out-of-band callback: każdą prośbę o ruch środków lub zmianę uprawnień potwierdzaj poprzez połączenie na numer z wewnętrznego katalogu, a nie ten podany w prośbie.
  • Stosuj zasadę podwójnej autoryzacji (dual approval) przy tworzeniu nowych kont uprzywilejowanych oraz zmianach danych bankowych kontrahentów.
AI
The Hacker NewsEN→PL

Badacze użyli publicznego modelu OpenAI do stworzenia exploita typu full-chain do Chrome za 250 000 dolarów w zaledwie sześć dni

Zespół XBOW wykorzystał agentów AI do stworzenia łańcucha trzech nieznanych wcześniej błędów w Google Chrome, co pozwoliło na zdalne wykonanie kodu na systemie Windows.

Czego się uczymy
  • Wykorzystanie agentów AI do automatyzacji wyszukiwania błędów w kodzie źródłowym i tworzenia Proof of Concept drastycznie skraca czas budowy exploitów.
  • Łańcuch ataku obejmował błędy w silniku V8, obsłudze obrazów WebP oraz module Crashpad, co pozwoliło na obejście podwójnej piaskownicy Chrome.
AI
The Hacker NewsEN→PL

Agent AI znalazł krytyczne obejście OTP w środowisku produkcyjnym. Atak był najłatwiejszą częścią.

Podczas autoryzowanych testów agent AI wykrył krytyczną lukę w procesie logowania u dużego ubezpieczyciela. Błąd pozwalał na przejęcie kodu OTP poprzez zmianę adresu docelowego.

Czego się uczymy
  • Zawsze weryfikuj, czy adres docelowy OTP (e-mail/telefon) jest ściśle powiązany z kontem użytkownika w bazie danych przed wysłaniem kodu.
  • Podczas projektowania procesów uwierzytelniania, serwer nie powinien ufać parametrom przesyłanym przez klienta, które określają sposób dostarczenia tokena.
AI