Charge RoboticsのCTOで共同創業者であるMax Justiczは、OpenAIのモデルを使用して深刻な脆弱性を発見した。これが悪用されると、ハッカーはUbuntuを実行するサーバーを制御できる可能性がある。Ubuntuは広く使用されているオープンソースのLinuxベースのオペレーティングシステムである。
Justicz はネットセキュリティに趣味として関心を持ち、以前にも同じコードベースで脆弱性を発見したことがある。彼は TechCrunch に、今回の問題は OpenAI が今年7月にリリースした GPT 5.6 Sol を、同社の Daybreak Blue というプロジェクトを通じて発見したと語った。このプロジェクトは、ネットセキュリティの防御者が強力な最先端モデルを利用できるようにするものである。
「私はChatGPTに同じコードを直接提示して、『以前に数年前に修正されたバグを発見したことがあるが、同じくらい深刻、あるいはそれ以上のバグを見つけてくれ』と言ったところ、2時間後にこのバグを特定してくれました」とJusticzは言います。「この脆弱性は非常に複雑で、人間が見つけるのは難しいですが、確かに存在します！」
彼はこの問題を関連するソフトウェアを保守するDebian Projectに報告し、その後パッチがリリースされてこの脆弱性が修正されました。現在のところ、この脆弱性が悪用されたという証拠は確認されていません。しかし、彼がこの問題をこれほど簡単に見つけられたことから、初心者のハッカーでもAIモデルを活用して潜在的な脆弱性を発見・悪用する可能性があり、このようなリスクは氷山の一角に過ぎないかもしれません。
「もしもっと時間が与えられ、制限の少ないモデルにアクセスできたなら、人々がどのようなことを成し遂げられるか、ただ想像するだけです。今後数ヶ月のうちに、非常に異常なバグが発見され、活用されるだろうと予想されます。」とJusticzは、この発見に関するソーシャルメディアの投稿で書いている。「ここにいるほとんどの人にとっては明らかかもしれませんが、現在、まだ監査されていないコードやバイナリファイルを強力なAIモデルに直接渡すことは、大きな利点があります。」
OpenAIは明らかにこの点に注目している。同社は本日、攻撃型サイバーセキュリティ研究者が脆弱性挖掘および開発ツールを使用できるDaybreak Redプロジェクトの最上位ユーザーに、サイバーセキュリティに特化した新モデル「ChatGPT Cyber」を提供すると発表した。
昨日、OpenAIは、同じモデルがLinuxカーネルのスキャンに使用され、948個の潜在的な問題が発見されたと発表しました。OpenAIはまた、WebブラウザのFirefoxで81個の「新規」脆弱性を発見しました。
この先進的なラボは声明で、「私たちの目標は、先進的なセキュリティ研究を、あらゆる規模の組織、個人研究者、およびオープンソースメンテナーに届けることです。」
OpenAIは、デジタルインフラを守るための行動可能な時間枠が非常に狭まっていると一貫して強調している。AIモデルは、ハッキング技術をさらに向上させ、手に入れるのもますます容易になるからだ。ネットワーク防御者にとっては、これは先端研究室から大量の新たな作業量が解放されたかのように感じられ、すでに彼らのリソースを超えた状況となっている。Justiczは、複数の脆弱性を発見するために、サブスクリプションとトークンに約5,000ドルを費やしたと述べている。
Daybreakのモデルアクセス権に加えて、OpenAIは、このプロジェクトに参加し、電力網や水道システムなどの重要なインフラに従事するサイバーセキュリティ専門家を支援するための10億ドルの計画を発表しました。
Daybreakプロジェクト自体もいくつかの批判に直面している。Justiczは、このフロントランナー研究所が最近、「Daybreak Blue」を「弱体化」させ、脆弱性発見の有用性を低下させていると指摘した。一方で、潜在的な悪意のある行動者へのアクセスを制限することは良いことかもしれない——Justiczは、自身がこのプロジェクトに参加した際、運転免許証の写真をアップロードしただけだと述べている。一方で、サイバーセキュリティの専門家たちは、自分たちは先進技術を利用できない一方で、悪意のある行動者がセキュリティガードを除去したオープンソースの重みモデルを展開できる場合、自分たちは手足を縛られてしまうと指摘している。
それでも、OpenAIは、Daybreakプロジェクトに参加するサイバーセキュリティ専門家は「数千人」に過ぎず、潜在的なハッカーの数ははるかに多いと述べている。
フロントラインラボラトリーがこの問題に十分なリソースを投入しているかどうかはまだ不明です。OpenAI技術チームの研究員エリック・ウォレスは、「現在、私たちはオープンソースコードベースで脆弱性を発見し修正するために、相当な量のフロントライン計算リソースを公益目的で使用しています。」
しかし、Linuxの脆弱性検索のコストは120万ドルであり、これは同社が著名な流体力学問題の潜在的解決策を見つけるために投入した約600万ドルのトークン支出よりも明確に低い。
世界が依存するデジタルインフラが本当にわずかな修正の窓口しか残されていないのであれば、より強い緊急性が必要かもしれない。