Google scopre primo exploit 0-day sviluppato con AI

Gli esperti del Google Threat Intelligence Group hanno individuato il primo exploit zero-day sviluppato con l’intelligenza artificiale. L’azienda di Mountain View non ha trovato indizi sul LLM (Large Language Model) utilizzato, ma è certo che la scrittura del codice non è stata effettuata con Gemini. La scoperta conferma i rischi derivanti dall’eventuale disponibilità pubblica di modelli più potenti, come Claude Mythos di Anthropic.

Exploit per aggirare la 2FA di un tool per web admin

Google sottolinea che l’AI viene sfruttata sempre più spesso per quasi ogni fase di un attacco informatico. Più recentemente è aumentato l’uso per l’individuazione delle vulnerabilità e la scrittura degli exploit, grazie alle migliori capacità dei modelli nella generazione di codice. Tra i più attivi ci sono i cybercriminali cinesi e nordcoreani.

I ricercatori di Google hanno individuato una collaborazione tra gruppi di criminali informatici per pianificare un’operazione di sfruttamento di vulnerabilità su larga scala. Analizzando il codice è stato scoperto l’exploit per una vulnerabilità zero-day. Un modello AI ha generato lo script Python che consente di aggirare l’autenticazione a due fattori (2FA) di un popolare tool open source per l’amministrazione dei sistemi. Google ha informato il fornitore e la vulnerabilità è stata corretta.

Non è noto il nome del tool, né quello del fornitore. I ricercatori escludono che sia stato utilizzato Gemini, ma è certa la scrittura dell’exploit zero-day con un modello AI. La vulnerabilità del tool di amministrazione non deriva da errori di implementazione come la corruzione della memoria o la mancata validazione degli input, ma da un bug di logica semantica di alto livello. Questo tipo di vulnerabilità viene identificata più facilmente dagli LLM, grazie alla loro capacità di ragionamento.

Nel report di Google sono elencati altri usi dell’AI, come la modifica dinamica del codice per evitare la rilevazione, la generazione dinamica del payload (polimorfismo) e l’integrazione di Gemini in PromptSpy, una backdoor per Android con funzionalità di spyware descritta da ESET a fine febbraio.