Chief Technology Officer dan peserta asas Charge Robotics, Max Justicz, menggunakan model OpenAI untuk mengesan satu lubang keamanan serius; jika dieksploitasi, perompak mungkin mengawal pelayan yang menjalankan Ubuntu. Ubuntu ialah sistem pengendalian sumber terbuka berasaskan Linux yang banyak digunakan.
Justicz memiliki minat santai terhadap keselamatan siber dan sebelum ini pernah menemui kelemahan dalam kod base yang sama. Beliau memberitahu TechCrunch bahawa kali ini beliau menemui masalah ini melalui GPT 5.6 Sol yang dikeluarkan oleh OpenAI pada Julai tahun ini, dengan menggunakan projek bernama Daybreak Blue. Projek ini membolehkan pakar pertahanan keselamatan siber menggunakan model terkini yang kuat.
"Saya hanya mengarahkan ChatGPT ke kod yang sama, lalu berkata, 'Saya sebelumnya pernah menemui satu bug yang telah diperbaiki beberapa tahun lalu, tolong bantu saya cari bug yang sama seriusnya atau lebih serius,' dan ia menemukan ini selepas 2 jam," kata Justicz. "Lubang keamanan ini sangat kompleks, sukar dikesan secara manual, tetapi ia memang wujud!"
Dia telah melaporkan masalah ini kepada Debian Project yang bertanggung jawab memelihara perisian terkait, yang kemudian menerbitkan pemaafan untuk memperbaiki kelemahan tersebut. Sementara ini, tidak ada bukti yang diketahui bahawa kelemahan ini telah dimanfaatkan. Namun, kebolehannya menemui masalah ini dengan mudah menunjukkan bahawa penyerang baru pun mungkin dapat menggunakan model AI untuk mengesan dan memanfaatkan kelemahan berpotensi, dan risiko semacam ini mungkin hanyalah puncak gunung ais.
Saya hanya boleh membayangkan apa yang akan dicapai orang jika mereka mempunyai lebih banyak masa dan akses kepada model yang kurang terhad. Kita harus mengharapkan bahawa dalam beberapa bulan ke depan, beberapa lubang yang sangat gila akan ditemui dan dimanfaatkan,” tulis Justicz dalam posting media sosialnya yang membincangkan penemuan ini. “Mungkin ini jelas bagi kebanyakan orang di sini, tetapi pada masa ini, mengambil sebahagian kod atau fail binari yang belum diaudit dan memberikannya secara langsung kepada model AI yang kuat benar-benar memberikan keuntungan besar.”
OpenAI jelas telah memperhatikan hal ini. Syarikat ini mengumumkan hari ini bahawa ia akan memberikan model baharu yang berfokus pada keselamatan siber, ChatGPT Cyber, kepada pengguna peringkat tertinggi dalam program keselamatan siber Daybreak Red. Daybreak Red membenarkan penyelidik keselamatan siber ofensif menggunakan alat penggalian dan pembangunan lubang keamanan.
Semalam, OpenAI menyatakan bahawa model yang sama telah digunakan untuk memindai kernel Linux dan menyediakan pampasan untuk kelemahan, menemui 948 isu berpotensi. OpenAI juga menemui 81 kelemahan "baru" dalam peramban web Firefox.
Laboratorium canggih ini menyatakan dalam satu pernyataan: “Tujuan kami adalah memperluas Daybreak secara besar-besaran, membawa penyelidikan keselamatan canggih kepada organisasi dari semua ukuran, penyelidik bebas, serta pengekalan sumber terbuka.”
OpenAI terus menekankan bahawa terdapat hanya satu jendela masa yang sempit bagi individu untuk melindungi infrastruktur digital, kerana model AI hanya akan menjadi lebih mahir dalam serangan siber dan lebih mudah diakses. Bagi para pertahanan siber, perasaan ini seolah-olah laboratorium terkini telah melepaskan sejumlah besar pekerjaan baru yang melebihi kapasiti sumber mereka. Justicz mengatakan bahawa dirinya telah menghabiskan sekitar US$5,000 untuk berlangganan dan token demi mencari beberapa kelemahan.
Selain akses model Daybreak, OpenAI juga mengumumkan rancangan sebanyak US$1 bilion untuk menyokong profesional keselamatan siber yang terlibat dalam projek ini dan bekerja dalam infrastruktur penting seperti grid kuasa atau sistem bekalan air.
Projek Daybreak juga menghadapi beberapa kritikan. Justicz menunjukkan bahawa laboratorium canggih ini baru-baru ini kelihatan "melemahkan" Daybreak Blue, menjadikannya kurang berguna dalam mengesan lubang keamanan. Di satu sisi, membatasi akses kepada pelaku jahat berpotensi adalah perkara baik—Justicz berkata bahawa ketika dia menyertai projek ini, dia hanya menghantar gambar lesen memandu sendiri. Di sisi lain, profesional keselamatan siber menyatakan bahawa jika mereka tidak boleh menggunakan teknologi canggih, sementara pelaku jahat boleh melaksanakan model berat sumber terbuka yang telah dikeluarkan daripada pelindung keselamatan, mereka akan terbatas.
Namun demikian, OpenAI menyatakan bahawa hanya "ribuan" profesional keselamatan siber yang terlibat dalam projek Daybreak, manakala bilangan hacker berpotensi jauh lebih besar.
Belum jelas sama ada Frontier Labs telah melaburkan sumber yang mencukupi untuk masalah ini. Penyelidik pasukan teknikal OpenAI, Eric Wallace, berkata: “Kami kini menggunakan sebahagian besar kuasa komputasi Frontier untuk mengesan dan membaiki lubang keamanan dalam repositori kod sumber terbuka, sepenuhnya secara amal.”
Namun, kos pencarian lubang keamanan Linux ialah $1.2 juta, yang jelas lebih rendah berbanding perbelanjaan token sebanyak kira-kira $6 juta yang dikeluarkan oleh syarikat tersebut untuk mencari penyelesaian berpotensi bagi satu masalah dinamik bendalir yang terkenal.
Jika infrastruktur digital yang menjadi tumpuan dunia memang hanya mempunyai jendela pembaikan yang sangat sempit, maka mungkin diperlukan rasa kegentingan yang lebih kuat.