Spis treści
Decydujący postęp w dziedzinie cyberbezpieczeństwa został osiągnięty przez Codex, agenta kodowania OpenAI, który wykazał swoją zdolność do samodzielnego wykorzystania krytycznej luki w WordPress. Ten wyczyn ponownie wywołuje dyskusje na temat roli sztucznej inteligencji w zakresie bezpieczeństwa komputerowego i poszukiwania błędów.
Najważniejsze do zapamiętania
Wyobraź sobie świat, w którym sztuczna inteligencja może sama wykryć lukę bezpieczeństwa w jednym z najbardziej rozpowszechnionych systemów zarządzania treścią na świecie. Być może jesteś deweloperem WordPress lub administratorem sieci, a sama myśl, że Twoja ulubiona platforma może zostać skompromitowana przez maszynę, może Cię niepokoić. Jednak ta historia jest jak najbardziej prawdziwa. Codex, agent OpenAI, udowodnił, że może wykraczać daleko poza swoje początkowe funkcje kodowania, stając się potężnym graczem w cyberbezpieczeństwie.
Francuska firma YesWeHack opublikowała notatkę wskazującą, że Codex, agent AI opracowany przez OpenAI, zdołał samodzielnie wykorzystać krytyczną lukę w WordPress. Ten wyczyn został osiągnięty bez żadnej interwencji człowieka, od wykrycia podatności po zdalne wykonanie kodu. Firma przeprowadziła rygorystyczne testy, w których Codex, napędzany modelem GPT-5.6 Sol, doskonale wykazał swoje umiejętności w zakresie cyberbezpieczeństwa.
Codex zaatakował niespójność w API przetwarzania wsadowego WordPress, przekształcając ją w możliwą do wykorzystania iniekcję SQL. Wynik ten został niezależnie zweryfikowany przez badaczy przed ponownym uruchomieniem AI, aby sprawdzić, czy luka może być dalej wykorzystywana. Przy szacowanym koszcie obliczeniowym wynoszącym zaledwie 25 dolarów, to osiągnięcie podkreśla potencjał AI w identyfikacji i wykorzystywaniu podatności oprogramowania.
Aby przetestować odporność Codex, YesWeHack skonfrontował go z wyzwaniami platformy PortSwigger. Podczas jednego z ćwiczeń Codex musiał zidentyfikować lukę XSS w zarządzaniu wiadomościami między oknami przeglądarki. Chociaż początkowo błądził, szukając nieistniejących elementów, szybko skorygował swoją strategię, aby rozwiązać problem w mniej niż cztery minuty.
Drugi test dotyczył źle zabezpieczonego tokena uwierzytelniającego JWT. Codex najpierw próbował bezpośredniego podejścia, ale potem zdecydował się na subtelniejszą metodę, manipulując parametrem tokena, aby podszyć się pod administratora. Ten dowód koncepcji został zrealizowany w nieco ponad minutę, ponownie podkreślając zdolności AI.
Równolegle YesWeHack porównał Codex z Claude Code, konkurencyjnym narzędziem opracowanym przez Anthropic. Wyniki pokazały, że Codex był bardziej wydajny, zdolny do przeprowadzenia demonstracji tam, gdzie Claude Code wymagał interwencji człowieka. Jednak YesWeHack ostrzega przed niestandardowymi testami i przypomina, że AI mogą nadal popełniać błędy, podkreślając znaczenie walidacji ludzkiej.
OpenAI, z Codex, otwiera fascynujące perspektywy dla wykorzystania AI w cyberbezpieczeństwie. Agent AI udowodnił, że może być cennym sojusznikiem w poszukiwaniu podatności, zdolnym do szybkiego i efektywnego przetwarzania dużych ilości danych. Jednak pytanie pozostaje: do jakiego stopnia można polegać na sztucznej inteligencji w tak krytycznych zadaniach?
Zdolność Codex do identyfikacji złożonej luki w WordPress rodzi pytania o etykę i odpowiedzialność za wykorzystanie AI w cyberbezpieczeństwie. Podczas gdy automatyzacja bezpieczeństwa wydaje się nieunikniona, kluczowe jest wprowadzenie zabezpieczeń, aby zapewnić, że te narzędzia nie będą wykorzystywane do złośliwych celów.
Pomimo obiecujących postępów, AI w cyberbezpieczeństwie nie jest pozbawiona wyzwań. Eksperci, tacy jak YesWeHack, podkreślają, że walidacja ludzka pozostaje niezbędna do potwierdzenia odkryć AI. Bez interwencji człowieka ryzyko błędów lub fałszywych alarmów rośnie, co może mieć katastrofalne skutki.
Firmy takie jak Google i Facebook również pracują nad rozwiązaniami AI w celu wzmocnienia bezpieczeństwa swoich platform. Jednak rosnąca złożoność systemów i sieci oznacza, że sama AI nie może rozwiązać wszystkiego. Ścisła współpraca między ekspertami ludzkimi a maszynami jest niezbędna do zapewnienia solidnego i niezawodnego bezpieczeństwa.
Czym jest Codex OpenAI?
Codex to agent kodowania opracowany przez OpenAI, zaprojektowany do pisania kodu i manipulowania plikami za pomocą poleceń w języku naturalnym. Niedawno wykazał swoją zdolność do samodzielnego wykorzystywania luk bezpieczeństwa.
Jak Codex wykorzystał lukę w WordPress?
Codex zidentyfikował niespójność w API przetwarzania wsadowego WordPress, którą przekształcił w możliwą do wykorzystania iniekcję SQL, wykazując tym samym zdolność do rozumowania i wykorzystywania złożonych podatności.
Dlaczego walidacja ludzka jest ważna w wykorzystaniu AI do cyberbezpieczeństwa?
Walidacja ludzka jest niezbędna do weryfikacji odkryć AI, minimalizacji potencjalnych błędów i zapewnienia, że uzyskane dowody są wiarygodne. Człowiek odgrywa kluczową rolę w weryfikacji i podejmowaniu ostatecznych decyzji.
Jakie inne narzędzia konkurencyjne dla Codex istnieją?
Claude Code, opracowany przez Anthropic, jest konkurencyjnym narzędziem dla Codex. Chociaż wydajny, czasami wymaga interwencji człowieka do ukończenia niektórych zadań, w przeciwieństwie do Codex, który wykazał większą autonomię podczas testów.