O chefe de tecnologia e cofundador da Charge Robotics, Max Justicz, usou um modelo da OpenAI para descobrir uma vulnerabilidade grave; se explorada, hackers poderiam usar isso para controlar servidores rodando Ubuntu. Ubuntu é um sistema operacional de código aberto baseado em Linux amplamente utilizado.
Justicz tem interesse amador em segurança cibernética e anteriormente já havia descoberto vulnerabilidades no mesmo repositório de código. Ele informou ao TechCrunch que descobriu este problema por meio do GPT 5.6 Sol, lançado pela OpenAI em julho deste ano, utilizando o projeto da empresa chamado Daybreak Blue. Esse projeto permite que defensores de segurança cibernética utilizem modelos avançados e de ponta.
“Eu simplesmente direcionei o ChatGPT para o mesmo trecho de código e disse: ‘Anteriormente, descobri um bug que já havia sido corrigido há alguns anos; por favor, ajude-me a encontrar um bug igualmente grave ou mais grave’, e ele me encontrou esse após 2 horas,” disse Justicz. “Essa vulnerabilidade é extremamente complexa e difícil de ser detectada manualmente, mas ela realmente existe!”
Ele relatou o problema ao Debian Project, responsável pela manutenção do software relevante, que posteriormente lançou um patch para corrigir a vulnerabilidade. Atualmente, não há evidências conhecidas de que essa vulnerabilidade tenha sido explorada. No entanto, o fato de ele ter encontrado esse problema tão facilmente indica que até hackers iniciantes podem usar modelos de IA para descobrir e explorar vulnerabilidades potenciais, e esse risco pode ser apenas a ponta do iceberg.
Só consigo imaginar o que as pessoas ainda poderiam criar se tivessem mais tempo e acesso a modelos com menos restrições. Devemos esperar que, nos próximos meses, se descubram e explorem algumas falhas extremamente loucas,” escreveu Justicz em uma postagem nas redes sociais sobre essa descoberta. “Para a maioria de vocês aqui, isso pode ser óbvio, mas atualmente, pegar um trecho de código ou um arquivo binário ainda não auditado e entregá-lo diretamente a um modelo de IA poderoso oferece uma vantagem significativa.”
A OpenAI claramente percebeu isso. A empresa anunciou hoje que disponibilizará o novo modelo focado em segurança cibernética, ChatGPT Cyber, aos usuários de maior nível do seu programa de segurança cibernética Daybreak Red. O Daybreak Red permite que pesquisadores de segurança cibernética ofensiva usem ferramentas de descoberta e desenvolvimento de vulnerabilidades.
Ontem, a OpenAI afirmou que o mesmo modelo foi usado para escanear o kernel do Linux e preparar patches para vulnerabilidades, identificando 948 problemas potenciais. A OpenAI também descobriu 81 vulnerabilidades "novas" no navegador web Firefox.
This cutting-edge laboratory stated in a statement: "Our goal is to significantly expand Daybreak, bringing advanced security research to organizations of all sizes, independent researchers, and open-source maintainers."
A OpenAI tem enfatizado consistentemente que há apenas uma janela de tempo muito estreita para que as pessoas protejam a infraestrutura digital, pois os modelos de IA apenas se tornarão mais habilidosos em ataques cibernéticos e mais fáceis de acessar. Para os defensores cibernéticos, essa situação parece como se laboratórios de ponta tivessem liberado uma grande quantidade de novas cargas de trabalho que ultrapassam sua capacidade de recursos. Justicz disse que gastou cerca de US$ 5.000 em assinaturas e tokens para procurar múltiplas vulnerabilidades.
Além do acesso ao modelo do Daybreak, a OpenAI anunciou um plano de US$ 1 bilhão para apoiar profissionais de cibersegurança que participam do projeto e trabalham em infraestruturas críticas, como redes elétricas ou sistemas de abastecimento de água.
O projeto Daybreak também enfrenta algumas críticas. Justicz aponta que este laboratório de ponta recentemente parece ter "enfraquecido" o Daybreak Blue, tornando-o menos útil na detecção de vulnerabilidades. Por um lado, limitar o acesso de potenciais agentes maliciosos pode ser positivo — Justicz diz que, quando se juntou ao projeto, apenas carregou uma foto da sua carteira de motorista. Por outro lado, profissionais de segurança cibernética afirmam que, se eles não puderem usar tecnologias de ponta, enquanto agentes maliciosos conseguem implantar modelos de peso abertos sem as barreiras de segurança, ficarão limitados.
Mesmo assim, a OpenAI afirmou que apenas "milhares de profissionais de segurança cibernética" participam do projeto Daybreak, enquanto o número de hackers potenciais é muito maior.
Ainda não está claro se o Frontier Lab alocou recursos suficientes para resolver esse problema. O pesquisador da equipe de tecnologia da OpenAI, Eric Wallace, disse: “Atualmente, estamos dedicando uma parte significativa de nossa capacidade computacional avançada para descobrir e corrigir vulnerabilidades em repositórios de código aberto, totalmente por motivos de interesse público.”
No entanto, o custo da busca por vulnerabilidades no Linux foi de US$ 1,2 milhão, claramente inferior aos aproximados US$ 6 milhões em gastos em tokens que a empresa investiu na busca por uma solução potencial para um famoso problema de dinâmica dos fluidos.
Se a infraestrutura digital na qual o mundo depende realmente tiver apenas uma janela de reparo muito estreita, talvez seja necessária uma urgência maior.