تمكن ثلاثة باحثين أمنيين من استخدام نموذج الذكاء الاصطناعي Claude التابع لشركة Anthropic لاكتشاف ثغرة أمنية قادتهم إلى الوصول إلى أنظمة مرتبطة بشركة OpenAI، قبل أن يحصلوا على مكافأة مالية قدرها 6500 دولار مقابل الإبلاغ عن المشكلة.
ووفقًا لتقرير صحيفة وول ستريت جورنال، جاء الاكتشاف ضمن برنامج مكافآت اكتشاف الثغرات الذي تديره OpenAI، والذي يسمح للباحثين باختبار أنظمة الشركة والإبلاغ عن نقاط الضعف الأمنية بشكل قانوني.
ثغرة في منصة مجتمع OpenAI قادت إلى GitHub
وبدأ الباحثون، الذين يعملون تحت اسم Hacktron AI، باكتشاف ثغرة في منصة Discourse المستخدمة لتشغيل منتدى مجتمع OpenAI ، واستعان الفريق بـClaude للمساعدة في إنشاء شيفرة لاستغلال الثغرة، إلا أن المحاولة الأولى لم تنجح.
لكن بعد إطلاق إصدار أحدث من Claude، تمكن الباحثون من استغلال الثغرة والوصول إلى رموز مصادقة موجودة على خادم Discourse، والمفاجأة كانت أن بعض هذه الرموز كان مرتبطًا بخدمات أخرى، بما في ذلك حسابات على ChatGPT تخص موظفين في OpenAI.
ومع استمرار الاختبار، تمكن الفريق من الوصول إلى مستودع GitHub داخلي تابع لـOpenAI، وتصفح ملفات ضمن مستودع برمجي ضخم يعرف باسم Monorepo ، وأشار التقرير إلى أن المستودع لم يتضمن أوزان نماذج الذكاء الاصطناعي الخاصة بالشركة.
OpenAI تعالج المشكلة وتدفع مكافأة للباحثين
بعد اكتشاف نطاق الوصول، أبلغ الباحثون OpenAI بالثغرات التي عثروا عليها ، وأكدت الشركة معالجة المشكلات الأمنية، بينما أصدرت Discourse تحديثًا لإغلاق الثغرة في اليوم نفسه الذي تلقت فيه البلاغ.
وحصل فريق Hacktron AI على 6500 دولار تقديرًا لاكتشاف الثغرة والإبلاغ عنها، في إطار برنامج مكافآت OpenAI.
وتكشف الواقعة عن تطور جديد في مجال الأمن السيبراني، يتمثل في قدرة نماذج الذكاء الاصطناعي على مساعدة الباحثين في اكتشاف الثغرات وتحليلها، حتى باستخدام حسابات واشتراكات عادية ، وفي المقابل يثير هذا التطور تساؤلات متزايدة حول كيفية استخدام هذه القدرات في حماية الأنظمة، وكذلك المخاطر التي قد تنشأ إذا وقعت الأدوات نفسها في أيدي جهات تسعى إلى استغلال الثغرات.
