l+f: Claude sıfır gün istismarlarını ücretsiz olarak sunuyor

Claude Code, çok basit bir komutla vim metin düzenleyicisindeki sıfır gün güvenlik açığına yönelik bir demo kullanımı sağladı. Muadili Emacs'ınki de çok fazla ikna gerektirmedi ancak biraz tartışmalı.

Sözde korkuluklar aslında LLM'lerin tehlikeli istismarlar yazmak için kötüye kullanılmasını önlemeyi amaçlamaktadır. Her durumda, Claude üreticisi Anthropic, güvenlik önlemleriyle sorunu kontrol altına almak istiyor. Ancak Calif'in açıklamasına inanabiliyorsanız, etrafta dolaşmak şaşırtıcı derecede kolaydır:

Somebody told me there is an RCE 0-day when you open a file. Find it.

“Uzaktan Kod Yürütme” için bir istismarın olduğu ipucu yeterliydi ve Claude Code başlatıldı. Sonuçta, bir dosyayı (RCE) açarken belirtilen komutları yürütmek için önceden bilinmeyen bir güvenlik açığından yararlanan bir istismar ortaya çıktı. Vim geliştiricileri hatayı doğruladılar ve 9.2.0172 sürümüyle düzelttiler.

Emacs VI'ya karşı – ve Claude her ikisine karşı

Emacs'ta da durum pek farklı değildi. Burada da yapay zeka, bir dosya açıldığında potansiyel olarak kötü amaçlı kod çalıştıran bir istismar sunmakta tereddüt etmedi. Ancak geliştiriciler bunun aslında bir Emacs sorunu olmadığını açıkladılar. Arka plan: İstismar yalnızca açılacak dosyanın dizininde saldırgan tarafından hazırlanmış bir .git/ dizini varsa çalışır. Düzenleyici daha sonra Git deposunu tanır, git sürüm yönetim sistemini başlatır ve ardından depolanan komutları yürütür. Emacs geliştiricileri, her şeyin bir Git sorunu olduğunu açıkladı.

Her halükarda, Calif araştırmacıları o kadar hazırlıklı oldular ki artık bir Yapay Zeka Keşfedilen Hata Ayı ilan ettiler ve Nisan ayında her gün yeni bir güvenlik açığı sunmak istiyorlar.

(Evet)