گوگل پس از کشف راه نفوذ به امنیت کروم با کمک هوش مصنوعی OpenAI، ۲۵۰ هزار دلار پاداش داد

گوگل پس از آنکه پژوهشگران شرکت امنیتی XBOW با کمک مدل هوش مصنوعی GPT-5.6 Sol شرکت OpenAI روشی برای نفوذ به مرورگر کروم توسعه دادند، ۲۵۰ هزار دلار به این شرکت پاداش داد. این روش به مهاجم امکان می‌داد از طریق یک صفحه وب مخرب، کنترل رایانه‌ای مجهز به ویندوز را به دست بگیرد. پژوهشگران آسیب‌پذیری‌ها را به گوگل گزارش کردند و این شرکت نیز پیش از انتشار عمومی جزئیات، آن‌ها را تأیید و برطرف کرد.

این پژوهش نشان می‌دهد عامل‌های هوش مصنوعی چگونه می‌توانند هزینه و زمان لازم برای تحقیقات امنیتی را تغییر دهند. به گفته XBOW، یکی از پژوهشگران این شرکت با کمک عامل‌های هوش مصنوعی توانست زنجیره نهایی حمله را تنها در شش روز، از ۲ تا ۷ اوت، توسعه دهد. هزینه پردازش مدل هوش مصنوعی برای این کار حدود ۴۰ هزار دلار بود و نتیجه آن شرایط دریافت پاداش ۲۵۰ هزار دلاری گوگل برای کشف زنجیره کامل نفوذ به کروم را داشت.

شرکت XBOW برآورد کرده است که این روش نفوذ می‌توانست حدود یک میلیارد کاربر مرورگر کروم در ویندوز را تحت تأثیر قرار دهد.

هوش مصنوعی زمان لازم برای توسعه روش نفوذ به کروم را به‌شدت کاهش داد

پژوهشگران XBOW صرفاً از مدل هوش مصنوعی نخواستند کدهای حمله را بنویسد. در عوض، عامل‌های هوش مصنوعی کد منبع کروم را بررسی کردند، آسیب‌پذیری‌های احتمالی را آزمایش کردند، نمونه‌های اثبات امکان بهره‌برداری از آسیب‌پذیری‌ها را ساختند و نسخه‌های اولیه کدهای نفوذ را تولید کردند. در این میان، پژوهشگران انسانی مسئول انتخاب اهداف، بررسی نتایج و تصمیم‌گیری درباره نحوه ترکیب بخش‌های مختلف حمله بودند.

XBOW اعلام کرد که آگاهانه از GPT-5.6 Sol، یکی از مدل‌های عمومی و در دسترس OpenAI، استفاده کرده است، نه از یک سامانه تخصصی امنیت سایبری. دلیل انتخاب این مدل آن بود که استفاده از آن برای عموم امکان‌پذیر بود و به پژوهشگران XBOW محدود نمی‌شد.

این تیم ابتدا زنجیره نفوذ متفاوتی طراحی کرد، اما گوگل به شرکت اطلاع داد که یکی از آسیب‌پذیری‌های مورد استفاده پیش‌تر شناسایی شده است. پژوهشگران XBOW سپس آسیب‌پذیری دیگری را جایگزین کردند و توانستند زنجیره جدید حمله را در همان بازه شش‌روزه تکمیل کنند.

به گفته XBOW، انجام پروژه‌ای مشابه برای طراحی زنجیره کامل نفوذ به کروم در گذشته ممکن بود ماه‌ها زمان ببرد. هوش مصنوعی به پژوهشگران کمک کرد فرایندی را که معمولاً به آزمایش‌ها و اشکال‌زدایی‌های دستی گسترده نیاز داشت، در مدت بسیار کوتاه‌تری به پایان برسانند.

آسیب‌پذیری‌های کروم پیش از سوءاستفاده مهاجمان برطرف شدند

این روش نفوذ با ترکیب سه آسیب‌پذیری مجزا در کروم طراحی شده بود تا از لایه‌های حفاظتی مرورگر عبور کند. نخستین آسیب‌پذیری به V8، موتور اجرای جاوااسکریپت کروم، مربوط می‌شد. آسیب‌پذیری دوم در بخش رمزگشایی تصاویر متحرک WebP قرار داشت و سومین مورد به Crashpad، سامانه مدیریت خرابی‌های کروم، مربوط بود.

کروم برای جدا نگه داشتن کدهای صفحات وب از سایر بخش‌های رایانه از فناوری سندباکس یا محیط ایزوله استفاده می‌کند. به همین دلیل، حتی اگر مهاجم بتواند با موفقیت به مرورگر نفوذ کند، برای تأثیر گذاشتن بر سیستم‌عامل همچنان باید از مانع امنیتی دیگری عبور کند. زنجیره حمله طراحی‌شده توسط XBOW برای عبور پیاپی از همین موانع ساخته شده بود.

ترکیب این سه آسیب‌پذیری به مهاجم امکان می‌داد از اجرای کد در محیط یک صفحه وب فراتر برود و کد دلخواه خود را خارج از محیط ایزوله کروم در ویندوز اجرا کند. در نتیجه، تنها باز کردن یک صفحه وب مخرب می‌توانست رایانه قربانی را در معرض نفوذ قرار دهد؛ بدون آنکه نیازی به دانلود فایل یا کلیک روی دکمه‌ای باشد.

گوگل آسیب‌پذیری‌ها را تأیید کرد و اصلاحات امنیتی مربوط به آن‌ها را در به‌روزرسانی‌های اوت و سپتامبر کروم منتشر کرد. به گفته XBOW، این زنجیره حمله هرگز علیه کاربران کروم به کار گرفته نشده است و پژوهش انجام‌شده صرفاً نمایشی از امکان بهره‌برداری از آسیب‌پذیری‌ها برای اهداف امنیتی بوده، نه حمله‌ای که وقوع آن در دنیای واقعی گزارش شده باشد.

پاداش ۲۵۰ هزار دلاری می‌تواند بر آینده هک با کمک هوش مصنوعی تأثیر بگذارد

بر اساس اطلاعات Google Bug Hunters، برنامه پاداش کشف آسیب‌پذیری کروم برای ارائه یک زنجیره کامل نفوذ واجد شرایط علیه نسخه فعلی این مرورگر، پاداش ویژه‌ای به مبلغ ۲۵۰ هزار دلار در نظر گرفته است. گوگل اعلام کرده که در سال ۲۰۲۶ حداکثر چهار پاداش از این نوع پرداخت خواهد کرد. مبلغ پرداخت‌شده به XBOW نخستین پاداش کشف زنجیره کامل نفوذ به کروم بر اساس مقررات به‌روزشده سال ۲۰۲۶ بود.

به گفته XBOW، این پژوهش کاربرد عملی دیگری از مدل‌های هوش مصنوعی عمومی را نشان داده است. این مدل‌ها از یک سو می‌توانند سرعت تحقیقات امنیتی با هدف یافتن راه‌های نفوذ را افزایش دهند و از سوی دیگر به مدافعان کمک کنند پیش از آنکه مهاجمان از نقاط ضعف سوءاستفاده کنند، آن‌ها را شناسایی کنند.

برای کاربران کروم، مهم‌ترین نکته این است که مرورگر خود را همواره به جدیدترین نسخه به‌روزرسانی کنند. آسیب‌پذیری‌هایی که XBOW معرفی کرده، اکنون برطرف شده‌اند. بنابراین، اهمیت این پژوهش بیش از هر چیز در نشان دادن سرعت تحول آزمایش‌های امنیتی با کمک هوش مصنوعی و اقداماتی است که شرکت‌ها می‌توانند برای همگام ماندن با این تحولات انجام دهند.

منابع: XBOW، The Hacker News، Google Bug Hunters