นักวิจัยใช้ Claude ช่วยเจาะระบบ OpenAI เข้าถึงบัญชีพนักงานและโค้ดภายใน

Claude ถูกใช้เป็นเครื่องมือในการทดสอบระบบ OpenAI

วงการ AI และ Cybersecurity กำลังจับตามองเหตุการณ์ที่ทีมวิจัยด้านความปลอดภัยใช้ Claude ของ Anthropic เป็นส่วนหนึ่งในการทดสอบเจาะระบบของ OpenAI

รายงานระบุว่า Hacktron AI สามารถเข้าถึงบัญชีพนักงานของ OpenAI และระบบภายในบางส่วนได้ โดยใช้ความสามารถของ Claude ในการช่วยวิเคราะห์และเขียนโค้ดที่เกี่ยวข้องกับการโจมตี

การทดสอบดังกล่าวดำเนินการภายใต้โปรแกรม Bug Bounty ของ OpenAI

นักวิจัยพบช่องโหว่ในระบบ

รายงานจาก Tom's Hardware ระบุว่าทีมวิจัยใช้ช่องโหว่ที่เกี่ยวข้องกับซอฟต์แวร์ Discourse และการตั้งค่าระบบ Single Sign-On หรือ SSO

นักวิจัยสามารถใช้ช่องโหว่ดังกล่าวเพื่อเข้าถึง Session Token และปลอมตัวเป็นผู้ใช้งานภายใน จากนั้นจึงสามารถเข้าถึงบริการภายในที่เกี่ยวข้องกับ GitHub และ Slack

Claude ช่วยในส่วนไหน?

Claude ถูกนำมาใช้ช่วยในกระบวนการด้านเทคนิค เช่น การสร้างและวิเคราะห์โค้ดที่เกี่ยวข้องกับการทดสอบ

สิ่งที่น่าสนใจคือ AI ไม่ได้เป็นผู้โจมตีเพียงลำพัง แต่ทำหน้าที่เป็นเครื่องมือช่วยนักวิจัยเร่งกระบวนการค้นหาและทดสอบช่องโหว่

นี่เป็นตัวอย่างของแนวโน้ม AI-assisted Cybersecurity ที่กำลังเติบโตขึ้น

AI ช่วยนักวิจัย Cybersecurity ได้อย่างไร?

AI สามารถช่วยงานด้านความปลอดภัยได้หลายรูปแบบ เช่น

• วิเคราะห์ Source Code
• ค้นหาความผิดปกติ
• สร้างโค้ดสำหรับทดสอบ
• วิเคราะห์ Log
• ตรวจสอบ Configuration
• สรุปช่องโหว่
• ช่วยสร้าง Proof of Concept

สิ่งเหล่านี้สามารถลดเวลาที่นักวิจัยต้องใช้ในการตรวจสอบระบบได้ แต่ในขณะเดียวกัน AI ก็สามารถเพิ่มความสามารถให้ผู้โจมตีได้เช่นกัน

OpenAI แก้ไขช่องโหว่แล้ว

หลังจากทีมวิจัยรายงานช่องโหว่ OpenAI ได้ดำเนินการแก้ไขระบบ โดย Tom's Hardware รายงานว่าบริษัทแก้ไขปัญหาภายในประมาณ 14 ชั่วโมง และจ่าย Bug Bounty จำนวน 6,500 ดอลลาร์ ให้กับนักวิจัย

กรณีนี้จึงอยู่ในบริบทของการทดสอบความปลอดภัยและ Responsible Disclosure ไม่ใช่การโจมตีเพื่อขโมยข้อมูลหรือทำลายระบบ

AI กับ Cybersecurity กำลังเข้าสู่ยุคใหม่

สิ่งที่เปลี่ยนไปคือ AI สามารถทำหน้าที่เป็นผู้ช่วยนักวิจัยด้านความปลอดภัยได้ตลอดกระบวนการ จากเดิมที่นักวิจัยต้องค้นหาข้อมูล วิเคราะห์โค้ด และเขียนเครื่องมือด้วยตัวเอง ปัจจุบันสามารถใช้ AI ช่วยดำเนินการบางส่วนได้อย่างรวดเร็ว

อย่างไรก็ตาม การใช้ AI ในงาน Security จำเป็นต้องอยู่ภายใต้ขอบเขตที่ได้รับอนุญาต เพราะเทคนิคเดียวกันสามารถนำไปใช้กับระบบที่ไม่ได้รับอนุญาตได้

ความปลอดภัยของ AI กลายเป็นการแข่งขันอีกด้าน

สถานการณ์นี้สะท้อนการแข่งขันอีกด้านของอุตสาหกรรม AI

บริษัทไม่ได้แข่งขันกันเพียงเรื่องโมเดลที่ฉลาดขึ้นเท่านั้น แต่ยังต้องแข่งขันเรื่องความปลอดภัยของระบบและความสามารถในการป้องกันการนำ AI ไปใช้ในทางที่ผิด

เมื่อ AI มีความสามารถด้าน Coding และ Cybersecurity เพิ่มขึ้น การสร้างระบบควบคุมการเข้าถึงจึงมีความสำคัญมากขึ้นตามไปด้วย

สรุป

ทีมวิจัยด้าน Cybersecurity ใช้ Claude เป็นส่วนหนึ่งในการทดสอบระบบของ OpenAI และสามารถเข้าถึงบัญชีพนักงาน รวมถึงระบบภายในบางส่วนได้

OpenAI ได้รับรายงานช่องโหว่ผ่านกระบวนการ Bug Bounty และดำเนินการแก้ไข เหตุการณ์นี้สะท้อนให้เห็นทั้งประโยชน์และความเสี่ยงของ AI ในงาน Cybersecurity เพราะ AI สามารถช่วยนักวิจัยค้นหาช่องโหว่ได้เร็วขึ้น ขณะเดียวกันความสามารถแบบเดียวกันก็สามารถถูกนำไปใช้ในกระบวนการโจมตีระบบได้

---

ที่มา: Tom's Hardware / CBS News