O agente de deteção de vulnerabilidades 360 descobriu as três principais vulnerabilidades do OpenClaw

Investir em bolsa é ver apenas os relatórios de analistas da Golden Qilin; são autorizados, profissionais, oportunos, abrangentes e ajudam-no a descobrir oportunidades com potencial!

Notícia da Science and Technology da Sina, a 7 de abril, à noite: recentemente, o agente inteligente de exploração de vulnerabilidades da 360, dirigido ao OpenClaw, conseguiu uma nova exploração e reportou 3 vulnerabilidades de elevado valor — 1 crítica e 2 de severidade média. Neste momento, todas as novas vulnerabilidades descobertas foram já corrigidas oficialmente e divulgadas publicamente.

As três principais vulnerabilidades agora descobertas visam diretamente o mecanismo central de funcionamento dos agentes inteligentes de IA. Os riscos de segurança afectam directamente a segurança central dos dispositivos, dos dados e das contas dos utilizadores. O tipo de impacto é claro e intuitivo. No caso da vulnerabilidade crítica, esta existe na fase de aprovação e execução de scripts locais: o sistema só verifica o estado de aprovação do script, não valida se o conteúdo do script foi adulterado. Após o script passar pela aprovação, um atacante pode substituir maliciosamente o código e, assim, executar operações ilegais no computador do utilizador, permitindo roubo de informação, alteração de ficheiros ou até controlo do sistema completo.

Uma vulnerabilidade de severidade média está escondida no processo de autorização por colar manualmente (OAuth). Devido a o programador reutilizar directamente parâmetros locais e privados de validação de segurança como parâmetros públicos, as informações de validação críticas são divulgadas com a callback URL. O atacante pode roubar essa informação de formas como o portapapéis e proxies de rede, obtendo facilmente tokens de acesso e assumindo serviços Google associados ao utilizador, representando uma ameaça grave à segurança da conta e à privacidade dos dados dos utilizadores. A outra vulnerabilidade de severidade média surge no processo de tratamento de dados do WebSocket de chamadas de voz: o sistema não valida antecipadamente a legalidade dos dados e processa directamente pacotes de dados demasiado grandes. O atacante pode esgotar os recursos do sistema enviando enormes quantidades de pacotes de dados, causando lentidão no dispositivo e até falhas (crashes), impossibilitando o uso de serviços normais.

Segundo informações, a plataforma de agentes inteligentes de exploração de vulnerabilidades da 360 já identificou um conjunto de múltiplas vulnerabilidades de segurança de elevado valor em vários agentes inteligentes de IA mainstream. Diferentemente das ferramentas tradicionais de varrimento de vulnerabilidades baseadas em regras, o agente inteligente de exploração de vulnerabilidades da 360 concretiza uma transição de uma abordagem orientada por regras para uma abordagem orientada por pensamento inteligente, permitindo identificar com precisão falhas de lógica de autorização, vulnerabilidades de controlo de recursos, riscos de implementação de protocolos e outras fragilidades profundas nos agentes inteligentes de IA. E o seu valor ainda mais marcante em termos de marcos é o de permitir que investigadores de segurança transformem em acumulação a intuição de ataque/defesa e a experiência de domínio adquiridas ao longo de muitos anos, pela primeira vez com um suporte digital que pode ser acumulado, reutilizado e evoluir de forma sustentável. No passado, um grande volume de trabalho base repetitivo e mecânico, como detecção, validação e reprodução de vulnerabilidades, pode agora ser realizado de forma eficiente pelo agente inteligente de exploração de vulnerabilidades. Assim, os especialistas de segurança ficam libertos do trabalho repetitivo e passam a concentrar-se no principal campo de batalha — a investigação de ataque/defesa mais criativa, o desenho de regras e a avaliação de risco — atingindo verdadeiramente a maximização do valor humano e das capacidades técnicas.

Declaração da Sina: esta notícia é republicada a partir de um media parceiro da Sina. A publicação no site Sina tem como objectivo transmitir mais informação e não significa concordância com as suas opiniões nem confirmação do que é descrito. O conteúdo do artigo é apenas para referência, não constitui recomendação de investimento. Os investidores que actuem com base no mesmo assumem o risco por sua conta.

Responsável: Song Yafang

(Editoria) Liu Chang )

     【Aviso legal】Este artigo representa apenas as opiniões do autor, não tem relação com a Hexun. O site da Hexun mantém neutralidade em relação às afirmações, opiniões e juízos apresentados no artigo, e não fornece quaisquer garantias expressas ou implícitas sobre a exactidão, fiabilidade ou integridade do conteúdo incluído. Convidamos os leitores a utilizarem apenas como referência e a assumirem toda a responsabilidade por si próprios. Email: news_center@staff.hexun.com

Denunciar