Sistema de IA Descobre 12 Vulnerabilidades Zero-Day no OpenSSL, Curl Cancela Programa de Recompensas por Bugs Devido a Spam de IA
O sistema automatizado de IA da AISLE para descoberta de vulnerabilidades de cibersegurança encontrou todas as 12 vulnerabilidades de dia zero na recente atualização de segurança do OpenSSL, enquanto o curl cancelou seu programa de recompensa por bugs devido a envios de spam gerados por IA. Esta é a primeira demonstração real de cibersegurança baseada em IA nessa escala contra infraestrutura intensamente auditada.
Detalhes Principais da Fonte
O sistema de IA descobriu vulnerabilidades no OpenSSL, que sustenta a criptografia para pelo menos dois terços do tráfego mundial da internet. O sistema opera sob o pseudônimo "Tamanduá-Bandeira" em programas de recompensa por bugs e visa transformar pesquisas de segurança de elite em um processo industrial repetível.
Resultados anteriores do Outono de 2025 incluíram:
- CVE-2025-9230: Leitura/escrita fora dos limites na operação de desempacotamento KEK do RFC 3211 para criptografia baseada em senha do CMS, potencialmente levando a corrupção de memória ou execução de código. Este bug estava presente desde 2009.
- CVE-2025-9231: Canal lateral de temporização em assinaturas de curva elíptica SM2 em ARM de 64 bits, onde variações no tempo de execução poderiam permitir recuperação de chave privada através de observação remota.
- CVE-2025-9232: Leitura fora dos limites no tratamento de no_proxy do cliente HTTP ao analisar hosts IPv6, desencadeando uma falha controlada.
O sistema gerencia todo o ciclo, incluindo varredura, análise, triagem e construção de exploração. Os mantenedores do OpenSSL são famosamente conservadores sobre a emissão de CVEs, tornando sua aceitação um benchmark externo rigoroso.
Enquanto isso, o curl cancelou seu programa de recompensa por bugs devido a uma enxurrada de envios de spam gerados por IA, mesmo enquanto a AISLE reportou 5 CVEs genuínos para eles. Isso ilustra o impacto duplo da IA: colapsando a qualidade mediana dos envios enquanto eleva o teto para descobrir vulnerabilidades de dia zero reais em infraestrutura crítica.
O projeto de previsão Frontier of the Year 2025 colocou a descoberta de vulnerabilidades impulsionada por IA em infraestrutura crítica na posição #3 geral por impacto esperado, com probabilidade de 0,9 de generalização.
📖 Leia a fonte completa: HN AI Agents
👀 See Also
Correção arquitetônica para a supercentralização de agentes de IA: separação de memória, execução e ações de saída
Um desenvolvedor percebeu que seu assistente de IA estava se tornando um 'autocrata interno' ao gerenciar memória de longo prazo, acesso a ferramentas e decisões autônomas em um único componente. A solução envolveu separar o sistema em três funções: controlador privado, trabalhadores com escopo definido e porta de saída.
Título do artigo: Exploração Assistida por LLM: Prévia do Mythos da Anthropic Ajudou a Construir o Primeiro Exploit Público do Kernel do macOS no Apple M5 em Cinco Dias
Usando o Mythos Preview da Anthropic, a empresa de segurança Calif construiu o primeiro exploit público de corrupção de memória do kernel macOS no silício M5 da Apple em cinco dias—quebrando a segurança de hardware MIE que levou cinco anos para a Apple desenvolver.
Vulnerabilidade no GitHub Copilot CLI permite execução de malware por injeção de prompt
Uma vulnerabilidade no GitHub Copilot CLI permite a execução arbitrária de comandos shell via injeção indireta de prompt sem aprovação do usuário. Ataques podem criar comandos que contornam a validação e executam malware imediatamente no computador da vítima.
FORGE: Framework de Teste de Segurança de IA de Código Aberto para Sistemas LLM
FORGE é um framework autônomo de teste de segurança de IA que constrói suas próprias ferramentas durante a execução, autorreplica-se em um enxame e cobre as 10 principais vulnerabilidades OWASP LLM, incluindo injeção de prompt, fuzzing de jailbreak e vazamento de RAG.