ChatGPT在公开漏洞利用代码发布前成功生成CVE有效攻击程序
💡
原文中文，约1200字，阅读约需3分钟。
📝
内容提要
安全研究员Matt Keeley展示了AI如何在漏洞代码发布前生成有效利用程序，改变漏洞研究格局。他利用GPT-4成功开发了针对Erlang/OTP SSH组件的高危漏洞攻击程序。AI能够快速定位漏洞、生成攻击代码并调试，显著提高研究效率，但也可能降低恶意攻击的门槛。组织需迅速升级受影响版本，以应对缩短的漏洞披露与攻击开发时间。
🎯
关键要点
- 安全研究员Matt Keeley展示了AI在漏洞代码发布前生成有效利用程序的能力。
- Keeley使用GPT-4开发了针对Erlang/OTP SSH组件的高危漏洞攻击程序，CVSS评分为10.0。
- GPT-4能够理解CVE描述、定位修复提交、比对代码、发现漏洞位置并编写概念验证代码。
- 该漏洞允许攻击者无需认证即可远程执行代码，源于SSH协议消息处理不当。
- Keeley通过引导GPT-4分析漏洞，完成了定位代码、创建比对工具、确定漏洞成因、生成攻击代码和调试修复代码的工作。
- AI的进步使漏洞研究流程自动化，显著提高了研究效率。
- 安全专家对AI的应用感到兴奋但也担忧，认为可能降低恶意攻击的门槛。
- 漏洞披露后，多个研究人员迅速开发出有效攻击程序，显示出AI的影响力。
- 受影响的Erlang/OTP版本已修复，组织需立即升级至新版本以应对安全风险。
- AI正在重塑网络安全格局，缩短漏洞披露与攻击程序开发的时间窗口，迫使组织加快补丁实施速度。
❓
延伸问答
Matt Keeley使用AI生成攻击程序的具体漏洞是什么？
Matt Keeley使用AI生成的攻击程序针对的是Erlang/OTP SSH组件中的高危漏洞，CVE-2025-32433，CVSS评分为10.0。
AI在漏洞研究中如何提高效率？
AI能够快速定位漏洞、生成攻击代码并调试，显著提高研究效率，自动化整个漏洞研究流程。
该漏洞的攻击方式是什么？
该漏洞允许攻击者无需认证即可远程执行代码，源于SSH协议消息处理不当。
安全专家对AI在漏洞研究中的应用有什么看法？
安全专家对此感到兴奋但也担忧，认为AI可能降低恶意攻击的门槛。
组织应如何应对该漏洞带来的安全风险？
组织应立即升级受影响的Erlang/OTP版本至修复版本，以应对安全风险。
AI如何改变漏洞研究的时间窗口？
AI的进步缩短了漏洞披露与攻击程序开发的时间窗口，迫使组织加快补丁实施速度。
➡️
