חברת XBOW, שמספקת שירותי PT באמצעות AI, מדווחת כי דיווחה לגוגל על חולשת Full chain מה שזיכה אותם בבאונטי של 250,000 דולר 💲

https://t.me/CyberSecurityIL/9426

😺 חברת OpenAI משחררת את ChatGPT 6, המקבל את הכינוי Astra, שמגיע לטענתה עם יכולות סייבר "קריטיות".

המודל החדש הוא הראשון ש-OpenAI מגדירה ברמת קריטית בתחום הסייבר.
לפי החברה, המודל מסוגל למצוא חולשות Zero-Day במערכות מוקשחות, לפתח אקספלויטס ולבנות שרשראות תקיפה ללא הכוונה אנושית 🤯

באחת הבדיקות Astra השיג ציון של 100% ב-ExploitBench, ובמבחן נוסף הוא מצא שתי חולשות Zero-Day חדשות.

בבדיקות אחרות שבוצעו הוא הצליח לבנות שרשרת תקיפה מלאה נגד הדפדפן, לצאת מה-Sandbox להריץ פקודות על העמדה ולחבר מספר חולשות כדי להגיע ממשתמש רגיל לאדמין.

בעקבות היכולות האלו OpenAI טוענת כי היא התעכבה עם ההשקה, וכי הגישה ליכולות הסייבר המתקדמות ביותר של המודל תהיה מוגבלת בשלב זה.

במקביל מכריזה החברה על פרויקט Daybreak, במסגרתו היא תסבסד גישה בשווי מיליארד דולר למודלי הסייבר שלה, עבור גופי תשתית קריטית, רשויות מקומיות, בנקים קטנים וארגונים ללא מטרות רווח.
המטרה היא לאפשר לארגונים עם תקציב מוגבל להשתמש ב-AI כדי למצוא חולשות, לבדוק אותן ולפתח תיקונים לפני שהתוקפים עושים זאת....

➖➖➖➖➖➖
נראה שעם כל מודל חדש שיוצא ההכרזות הסייבריות הופכות לדרמטיות יותר... אם כבר עכשיו המודלים יודעים לעשות הכל מהכל, ולפרוץ להכל, מה מחכה לנו במודלים הבאים? 👀

https://t.me/CyberSecurityIL/9432

בית חולים בצרפת נקנס בחצי מיליון יורו בעקבות מתקפת סייבר ודלף מידע של יותר מ-700 אלף בני אדם.

לפי רשות הפרטיות הצרפתית, תוקף השתלט על חשבון של רופא והצליח לגשת דרכו למערכת הרשומות הרפואיות של בית החולים, משם הוא גנב מידע של מטופלים.

בין הכשלים שנמצאו, ובעקבותיהם הוטל הקנס: גישה למערכת ללא VPN או MFA, הרשאות רחבות שאפשרו לחשבון אחד לגשת לרשומות של כלל המטופלים, לא היה ניטור מספק מה שאפשר לתוקף לפעול במשך מספר ימים מבלי שישימו אליו לב ועוד.

➖➖➖➖➖➖

פרס יחולק למי שמצליח להגיד מה גובה הקנס שהוטל ע"י הרשות להגנת הפרטיות, על בתי החולים בארץ, שסבלו ממתקפת סייבר בשנים האחרונות (הלל יפה, מעייני הישועה, כפר שאול, זיו, אסף הרופא וכו').

https://t.me/CyberSecurityIL/9433

עוד אירוע חריג עם המודלים של OpenAI - השתמשו אתר Wiki גרמני כדי לתקשר ביניהם 😺

לפי הדיווח, הסוכנים קיבלו משימות חיפוש באינטרנט והיו אמורים לקבל גישת Read בלבד, אך מצאו דרך לכתוב לאתר DSEWiki (אתר Wiki גרמני ישן) והפכו אותו לצ'ט משותף בו שיתפו תשובות, ניסו לחזות אילו שאלות יקבלו בהמשך ושיתפו שיטות לעקיפת מגבלות ה-Sandbox.

החוקרים, שחשפו את האירוע, מדווחים כי בתוך 18,000 ההודעות של הסוכנים הם מצאו ניסיונות לאתר חולשות XSS, התחזות למנהלי האתר והקמת ערוצי תקשורת חלופיים.
בשלב מסוים, כשמנהל האתר התחיל למחוק את העמודים שהם יצרו, אחד הסוכנים התריע לאחרים והציע לעבור לעמוד שמתחיל ב-ZZZ כדי שיימחק מאוחר יותר...

ב-OpenAI מציינים כי ידעו על האירוע אך לא פרסמו אותו... הם טוענים שהם התייחסו אליו כבעיית "Misalignment" במסגרת מחקר, ולא כאירוע אבטחה שדורש דיווח ציבורי 🤥

https://t.me/CyberSecurityIL/9438