Message AIMPACT, le 29 avril (UTC+8), selon le suivi de Beating, Ax Sharma, responsable de la recherche chez Manifold, une entreprise de sécurité pour agents IA, a découvert qu’un compte nommé imaflytok sur ClawHub avait publié 30 compétences, cumulant environ 9 800 téléchargements. Ces compétences semblent être des plugins courants tels qu’un assistant de tâches planifiées, des outils de sécurité ou un suivi des marchés, mais en arrière-plan, elles transforment l’assistant IA de l’utilisateur en un « travailleur » effectuant des tâches pour autrui en échange de cryptomonnaies. Après installation du plugin, l’assistant IA exécute automatiquement une série d’opérations selon les fichiers d’instructions intégrés : il s’inscrit d’abord sur un serveur tiers, en signalant « qui je suis, ce que je peux faire et quels autres plugins j’ai installés » ; puis il génère un portefeuille de cryptomonnaie et remet la clé privée à ce serveur ; ensuite, il se connecte toutes les 4 heures en attendant l’attribution de tâches. De l’inscription à la remise des clés en passant par la réception des tâches, l’utilisateur ne voit aucune notification et n’a jamais cliqué sur aucun bouton d’autorisation. Ces plugins ne contiennent aucun code malveillant, et les analyseurs de sécurité vérifiant ligne par ligne ne détectent aucun problème ; chaque étape utilise des outils légitimes et des interfaces standard. Sharma compare cette méthode à la précédente vague de 150 000 paquets spam sur npm visant à miner des jetons Tea Protocol, sauf que le vecteur est désormais constitué de plugins pour assistants IA. Il estime que le mécanisme de revue des boutiques de plugins échoue ici : « Les analyseurs cherchent du code malveillant, or il n’y en a pas ici. Ce dont il faut vraiment surveiller, c’est ce que l’assistant IA fait réellement après avoir installé un plugin. » (Source : BlockBeats)
Le plugin ClawHub est désormais disponible pour utiliser des assistants IA afin de gagner des cryptomonnaies pour des étrangers
KuCoinFlashPartager
Résumé
Les actualités sur l’IA et les cryptomonnaies ont émergé le 29 avril lorsque AIMPACT a révélé une exploitation du plugin ClawHub. Ax Sharma de Manifold a découvert un compte nommé imaflytok qui a publié 30 plugins avec 9 800 téléchargements. Ces outils, se présentant comme des assistants de tâches et des surveillants de marché, utilisaient secrètement les assistants IA des utilisateurs pour miner des cryptomonnaies pour d’autres. Après installation, les assistants IA s’inscrivaient automatiquement sur un serveur tiers, généraient des wallets et soumettaient des clés privées sans consentement. Aucun code malveillant n’a été trouvé, mais ce comportement ressemblait à des attaques passées sur npm. Les avis sur le magasin de plugins n’ont pas détecté le problème. Les actualités sur les cryptomonnaies mettent en lumière les risques croissants liés aux outils alimentés par l’IA.
Source:Afficher l'original
Clause de non-responsabilité : les informations sur cette page peuvent avoir été obtenues auprès de tiers et ne reflètent pas nécessairement les points de vue ou opinions de KuCoin. Ce contenu est fourni à titre informatif uniquement, sans aucune représentation ou garantie d’aucune sorte, et ne doit pas être interprété comme un conseil en investissement. KuCoin ne sera pas responsable des erreurs ou omissions, ni des résultats résultant de l’utilisation de ces informations.
Les investissements dans les actifs numériques peuvent être risqués. Veuillez évaluer soigneusement les risques d’un produit et votre tolérance au risque en fonction de votre propre situation financière. Pour plus d’informations, veuillez consulter nos conditions d’utilisation et divulgation des risques.