如果用来找别人漏洞的工具,自己反而满身漏洞,还有什么安全可言?Cracken安全研究人员首次对12款AI驱动的红队渗透测试工具进行了系统分析,结果就撞上了这种尴尬局面。
这些工具原本是安全团队用来模拟攻击、检验防御的利器,但研究人员发现它们存在严重的架构缺陷。最要命的是,漏洞直接暴露了工具背后调用的LLM API密钥——攻击者一旦拿到密钥,就能在自己的请求中滥用这些大模型接口,不仅可能产生巨额费用,还能窃取经由工具处理过的敏感数据。
![]()
更让人捏把汗的是沙箱逃逸和主机入侵风险。渗透测试工具一般在隔离的沙箱中执行,而这次的漏洞意味着攻击者可以跳出沙箱环境,获得对操作者主机的控制权。等于说,一个本来去排查别人的系统,自己反而成了被入侵的跳板。
不过换个角度看,这次系统性分析来得正是时候。研究人员在揭露漏洞的同时也发布了防御建议。对使用这些工具的安全团队来说,尽快根据建议做好配置加固和密钥轮换,就能把风险压下去。与其遮遮掩掩,不如直面漏洞,这或许才是让AI安全工具真正走向成熟的契机。
特别声明:以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布,本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.