GitHub Security Lab açık kaynak yapay zeka aracıyla 24 Android açığı buldu
Öne çıkanlar
- GitHub Security Lab'in açık kaynak yapay zeka aracı, Android uygulamalarında toplam 24 güvenlik açığı yakaladı.
- OsmAnd navigasyon uygulamasındaki bir zafiyet, cihaz konumunun ve rota verilerinin gizlice sızdırılmasına yol açtı.
- Wikipedia Android uygulamasındaki mantık hatası üzerinden hesap ele geçirmeye olanak tanıyan çerez sızıntısı bulundu.
- Büyük dil modelleri mantık hatalarını tespit edebilse de açığın etki derecesini belirlemekte yetersiz kaldı.
GitHub Security Lab ekibi, güvenlik araştırmacılarının yapay zeka istemlerini ve iş akışlarını otomatikleştirmesini sağlayan GitHub Security Lab Taskflow Agent adlı açık kaynak güvenlik aracını geliştirdi. Araştırmacılar, büyük dil modellerini aşamalı adımlarla yönlendiren özel mobil denetim iş akışları kurguladı. Bu sistem aracılığıyla popüler açık kaynaklı Android uygulamalarında toplam 24 güvenlik açığı tespit edildi ve sorumlu şekilde bildirildi.
Tespit edilen açıklar arasında 10 milyondan fazla indirilen OsmAnd navigasyon uygulamasındaki konum takip zafiyeti ile resmi Wikipedia Android uygulamasındaki hesap ele geçirme hatası öne çıkıyor. OsmAnd tarafında dışa aktarılan bir bileşene izinsiz yapılandırma enjekte edilerek kullanıcının harita koordinatları sızdırılabiliyor. Wikipedia uygulamasında ise bağlantı ayrıştırma mantığındaki bir açık, saldırganların kurbanların oturum çerezlerini ele geçirmesine imkan tanıdı.
Araştırmacılar, modellerin API davranışlarını ve karmaşık mantık hatalarını kavramada çok başarılı olduğunu ancak açıkların ciddiyet derecesini doğru tahmin etmekte zorlandığını aktardı. Kod tabanındaki hafifletici etkenleri gözden kaçıran sistemin yanlış alarmlar üretebildiği ve bu sebeple elde edilen sonuçların uzman güvenlik araştırmacıları tarafından doğrulanması gerektiği belirtildi.
Bu özet yapay zekâ ile hazırlanmıştır; ayrıntılar ve doğrulama için orijinal kaynağa başvurun.