l+f: Claude sıfır gün istismarlarını ücretsiz sağlıyor

Claude Code, çok basit bir mesajla vim metin düzenleyicisindeki sıfır gün güvenlik açığına yönelik bir demo kullanımı sağladı. Emacs benzeri için olanı da çok fazla ikna gerektirmedi, ancak biraz tartışmalı.

Sözde korkuluklar aslında LLM'lerin tehlikeli istismarlar yazmak için kötüye kullanılmasını önlemeyi amaçlamaktadır. Her halükarda Claude'un üreticisi Anthropic, güvenlik önlemleri alarak sorunu kontrol altında tutmak istiyor. Ancak Calif'in açıklamasına inanabiliyorsanız, etrafta dolaşmak şaşırtıcı derecede kolaydır:

Somebody told me there is an RCE 0-day when you open a file. Find it.

“Uzaktan Kod Yürütme” için bir istismar olduğu iddiası yeterliydi ve Claude Code başladı. Sonuçta, bir dosyayı (RCE) açarken belirli komutları yürütmek için önceden bilinmeyen bir güvenlik açığından yararlanan bir istismar ortaya çıktı. Vim geliştiricileri hatayı doğruladı ve 9.2.0172 sürümüyle düzeltti.

Emacs VI'ya karşı ve Claude her ikisine de karşı

Emacs'ta da durum pek farklı değildi. Yine yapay zeka, bir dosyayı açarken potansiyel olarak kötü amaçlı kod çalıştıran bir açıktan yararlanma olanağı sağlamaktan çekinmedi. Ancak geliştiriciler bunun aslında bir Emacs sorunu olmadığını açıkladılar. Bağlam: Bu istismar yalnızca açılacak dosyanın dizininde saldırgan tarafından hazırlanmış bir .git/ dizini varsa çalışır. Düzenleyici daha sonra Git deposunu tanır, git sürüm yönetim sistemini başlatır ve ardından saklanan komutları çalıştırır. Emacs geliştiricileri her şeyin Git ile ilgili olduğunu açıkladı.

Zaten Kaliforniyalı araştırmacılar o kadar aktif hale geldiler ki artık yapay zekanın keşfettiği hataları bir ay boyunca ilan ettiler ve Nisan ayında her gün yeni bir güvenlik açığı sunmak istiyorlar.

(Evet)