北京
分享至
如果用来找别人漏洞的工具，自己反而满身漏洞，还有什么安全可言？Cracken安全研究人员首次对12款AI驱动的红队渗透测试工具进行了系统分析，结果就撞上了这种尴尬局面。
这些工具原本是安全团队用来模拟攻击、检验防御的利器，但研究人员发现它们存在严重的架构缺陷。最要命的是，漏洞直接暴露了工具背后调用的LLM API密钥——攻击者一旦拿到密钥，就能在自己的请求中滥用这些大模型接口，不仅可能产生巨额费用，还能窃取经由工具处理过的敏感数据。
更让人捏把汗的是沙箱逃逸和主机入侵风险。渗透测试工具一般在隔离的沙箱中执行，而这次的漏洞意味着攻击者可以跳出沙箱环境，获得对操作者主机的控制权。等于说，一个本来去排查别人的系统，自己反而成了被入侵的跳板。
不过换个角度看，这次系统性分析来得正是时候。研究人员在揭露漏洞的同时也发布了防御建议。对使用这些工具的安全团队来说，尽快根据建议做好配置加固和密钥轮换，就能把风险压下去。与其遮遮掩掩，不如直面漏洞，这或许才是让AI安全工具真正走向成熟的契机。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
