XMASKNEWS
Aktualizacja:
Help Net SecurityEN→PLAI

GitHub wdraża tańszy model AI do wykrywania sekretów pozostawionych w kodzie

GitHub usprawnił proces wykrywania poświadczeń, zastępując duże modele językowe wyspecjalizowanym klasyfikatorem. Nowy system drastycznie obniżył koszty i czas skanowania przy jednoczesnym zwiększeniu skuteczności.

Model został wyeksportowany do formatu ONNX z zastosowaniem kwantyzacji 8-bitowej, co zapewnia szybką inferencję. GitHub planuje dalej rozwijać system, wykorzystując dane z produkcji do ciągłego douczania klasyfikatora i eliminowania błędów.

Czytaj też

The Hacker NewsEN→PL

Jak przeprowadzić ćwiczenia gotowości na deepfake, zanim sklonowany głos zadzwoni do Twojego zespołu

Sklonowane głosy i syntetyczne wideo są wykorzystywane w oszustwach płatniczych i przy resetowaniu haseł. Strukturalne ćwiczenia pozwalają sprawdzić, gdzie zawodzi weryfikacja, zanim dojdzie do realnego ataku.

Czego się uczymy
  • Wprowadź zasadę out-of-band callback: każdą prośbę o ruch środków lub zmianę uprawnień potwierdzaj poprzez połączenie na numer z wewnętrznego katalogu, a nie ten podany w prośbie.
  • Stosuj zasadę podwójnej autoryzacji (dual approval) przy tworzeniu nowych kont uprzywilejowanych oraz zmianach danych bankowych kontrahentów.
AI
The Hacker NewsEN→PL

Badacze użyli publicznego modelu OpenAI do stworzenia exploita typu full-chain do Chrome za 250 000 dolarów w zaledwie sześć dni

Zespół XBOW wykorzystał agentów AI do stworzenia łańcucha trzech nieznanych wcześniej błędów w Google Chrome, co pozwoliło na zdalne wykonanie kodu na systemie Windows.

Czego się uczymy
  • Wykorzystanie agentów AI do automatyzacji wyszukiwania błędów w kodzie źródłowym i tworzenia Proof of Concept drastycznie skraca czas budowy exploitów.
  • Łańcuch ataku obejmował błędy w silniku V8, obsłudze obrazów WebP oraz module Crashpad, co pozwoliło na obejście podwójnej piaskownicy Chrome.
AI
The Hacker NewsEN→PL

Agent AI znalazł krytyczne obejście OTP w środowisku produkcyjnym. Atak był najłatwiejszą częścią.

Podczas autoryzowanych testów agent AI wykrył krytyczną lukę w procesie logowania u dużego ubezpieczyciela. Błąd pozwalał na przejęcie kodu OTP poprzez zmianę adresu docelowego.

Czego się uczymy
  • Zawsze weryfikuj, czy adres docelowy OTP (e-mail/telefon) jest ściśle powiązany z kontem użytkownika w bazie danych przed wysłaniem kodu.
  • Podczas projektowania procesów uwierzytelniania, serwer nie powinien ufać parametrom przesyłanym przez klienta, które określają sposób dostarczenia tokena.
AI