Google har stoppet et zero-day-angreb, som ifølge selskabet ser ud til at være udviklet med hjælp fra kunstig intelligens.
Det fremgår af en ny rapport fra Google Threat Intelligence Group, GTIG.
Ifølge Google er det første gang, selskabet har fundet tegn på, at AI har været involveret i udviklingen af en udnyttelse af denne type.
Sårbarheden skulle ifølge Google bruges af “fremtrædende cyberkriminelle trusselsaktører” i et planlagt masseangreb.
Angrebet ville have gjort det muligt at omgå to-faktor-godkendelse i et ikke-navngivet open source-værktøj til webbaseret systemadministration, lyder det.
Google oplyser, at selskabet var i stand til at standse angrebet.
Afsløret af mærkelige spor i koden
Det var ikke kun selve sårbarheden, der vakte Googles interesse.
I den Python-kode, der blev brugt til exploitten, fandt Googles sikkerhedseksperter flere tegn på, at AI kan have været involveret i udviklingen.
Blandt andet indeholdt koden en "hallucineret”"CVSS-score. CVSS er den skala, der typisk bruges til at vurdere alvoren af cybersikkerhedssårbarheder.
Samtidig lyder det, at udnyttelseskoden havde en struktureret og nærmest lærebogsagtig formatering, som ifølge selskabet passer med mønstre fra træningsdata til store sprogmodeller.
Ifølge sikkerhedseksperterne lyder det dog, at de ikke mener, at Googles egen Gemini-model er blevet brugt.
Udnyttede fejl i 2FA-system
Selve sårbarheden handlede ifølge Google om en semantisk logikfejl.
Det betyder, at problemet ikke lå i en klassisk teknisk fejl som for eksempel et buffer overflow, men i en forkert antagelse i systemets logik.
Ifølge Google havde udvikleren kodet en tillidsantagelse ind i platformens system til to-faktor-godkendelse.
Den fejl kunne udnyttes til at omgå 2FA-beskyttelsen, hvilket gør sagen mere alvorlig, eftersom to-faktor-godkendelse normalt bruges som et ekstra sikkerhedslag, hvis en adgangskode bliver kompromitteret.
AI er blevet en del af hackernes værktøjskasse
Google skriver, at hackere i stigende grad bruger AI til at finde og udnytte sikkerhedssårbarheder.
Selskabets rapport kommer efter flere ugers debat om de nye cybersikkerhedsrettede AI-modeller, der blandt andet omfatter Anthropics Mythos, som for alvor har fået flere industrier til at ryste i bukserne, da den har haft succes med at finde sårbarheder diverse steder.
Samtidig er der for nylig blevet offentliggjort en Linux-sårbarhed, som blev fundet med hjælp fra AI.
Med andre ord viser disse eksempler, at AI allerede er ved at blive – hvis det ikke allerede er - en praktisk del af de cyberkriminelles arbejde.
