Công cụ phát hiện lỗ hổng 360 mới nhất phát hiện ra ba lỗ hổng lớn của OpenClaw

Chứng khoán thì cứ xem báo cáo phân tích của nhà phân tích Kim Kỳ Lân, uy tín, chuyên nghiệp, kịp thời, toàn diện, giúp bạn khai phá cơ hội theo chủ đề có tiềm năng!

Theo tin từ Sina Khoa học và Công nghệ vào tối ngày 7 tháng 4, gần đây, tác nhân khai thác lỗ hổng thông minh 360 nhắm vào OpenClaw đã thành công trong việc phát hiện và báo cáo thêm 3 lỗ hổng giá trị cao, gồm 1 lỗ hổng mức độ nghiêm trọng và 2 lỗ hổng mức độ trung bình; hiện tại, tất cả các lỗ hổng mới phát hiện đều đã được phía chính thức khắc phục và công khai công bố.

Ba lỗ hổng mới được phát hiện lần này đều nhắm thẳng vào cơ chế vận hành cốt lõi của các tác nhân AI thông minh; rủi ro an ninh ảnh hưởng trực tiếp đến sự an toàn cốt lõi của thiết bị, dữ liệu và tài khoản của người dùng, mức độ gây hại rõ ràng và trực quan. Trong đó, lỗ hổng nghiêm trọng tồn tại ở khâu phê duyệt và thực thi tập lệnh cục bộ; hệ thống chỉ kiểm tra trạng thái phê duyệt của tập lệnh, không xác minh liệu nội dung tập lệnh có bị can thiệp hay không. Kẻ tấn công có thể, sau khi tập lệnh qua được phê duyệt, thay thế độc hại mã nguồn, từ đó thực thi các hành vi trái phép trên máy tính của người dùng, thực hiện trộm cắp thông tin, sửa đổi tệp hoặc thậm chí chiếm quyền điều khiển toàn bộ thiết bị.

Một lỗ hổng mức độ trung bình khác nằm ở quy trình ủy quyền dán thủ công OAuth; do nhà phát triển tái sử dụng trực tiếp các tham số tham chiếu an toàn bí mật cục bộ thành tham số công khai, các thông tin kiểm tra then chốt sẽ bị rò rỉ theo URL gọi lại. Kẻ tấn công có thể đánh cắp thông tin này thông qua bảng nhớ tạm, proxy mạng hoặc các cách khác, dễ dàng lấy token truy cập và chiếm quyền các dịch vụ Google liên quan của người dùng, tạo ra mối đe dọa nghiêm trọng đối với an toàn tài khoản và quyền riêng tư dữ liệu. Lỗ hổng mức độ trung bình còn lại thì xuất hiện trong luồng xử lý dữ liệu WebSocket của cuộc gọi thoại; hệ thống không kiểm tra trước tính hợp lệ của dữ liệu mà trực tiếp xử lý các gói dữ liệu cực lớn. Kẻ tấn công có thể gửi một lượng lớn gói dữ liệu khổng lồ để làm cạn kiệt tài nguyên hệ thống, gây tình trạng chậm, treo hoặc sập thiết bị, khiến dịch vụ bình thường không thể sử dụng.

Theo giới thiệu, hệ thống tác nhân khai thác lỗ hổng thông minh 360 đã tích lũy phát hiện nhiều lỗ hổng an toàn giá trị cao của nhiều tác nhân AI chủ đạo. Khác với các công cụ quét lỗ hổng theo quy tắc truyền thống, tác nhân khai thác lỗ hổng thông minh 360 thực hiện bước nhảy từ tư duy điều khiển bằng quy tắc sang tư duy điều khiển bằng trí tuệ, có thể nhận diện chính xác các thiếu sót trong logic ủy quyền, lỗ hổng kiểm soát tài nguyên, rủi ro trong hiện thực giao thức và các mối nguy sâu xa khác trong các tác nhân AI. Và giá trị mang tính mốc quan trọng hơn của nó nằm ở chỗ: giúp các nhà nghiên cứu an ninh, những người đã tích lũy nhiều năm trực giác công - thủ và kinh nghiệm trong lĩnh vực, lần đầu tiên có được một “lõi số” có thể lắng đọng, có thể tái sử dụng và có thể tiến hóa bền vững. Trong quá khứ, các công việc nền tảng như rà soát, xác minh, tái hiện lỗ hổng lặp lại và máy móc với quy mô lớn nay có thể giao cho tác nhân khai thác lỗ hổng thông minh thực hiện một cách hiệu quả; các chuyên gia an ninh được giải phóng khỏi công việc lặp đi lặp lại tẻ nhạt, quay trở lại “chiến trường” cốt lõi nhất về nghiên cứu công - thủ giàu tính sáng tạo, thiết kế quy tắc, đánh giá rủi ro, từ đó thực sự hiện thực hóa việc giải phóng tối đa giá trị con người và năng lực kỹ thuật.

Tuyên bố của Sina: Thông tin này là bài đăng lại từ các phương tiện truyền thông hợp tác của Sina; Sina đăng tải bài viết này với mục đích truyền tải thêm thông tin, và không có nghĩa là đồng ý với quan điểm của các bên hoặc xác nhận những gì được mô tả. Nội dung bài viết chỉ để tham khảo, không cấu thành khuyến nghị đầu tư. Nhà đầu tư thực hiện theo đó, rủi ro tự chịu.

Người phụ trách: Tống Gia Phương

(Biên tập viên: Lưu Xuyên )

     【Tuyên bố miễn trừ】Bài viết này chỉ thể hiện quan điểm của chính tác giả, không liên quan đến Hexun. Trang web Hexun giữ quan điểm trung lập đối với các tuyên bố và phán đoán quan điểm trong bài viết; không đưa ra bất kỳ bảo đảm minh thị hay ngụ ý nào về độ chính xác, độ tin cậy hoặc tính đầy đủ của nội dung được bao gồm. Vui lòng độc giả chỉ coi đây là thông tin tham khảo và tự chịu trách nhiệm hoàn toàn. Email: news_center@staff.hexun.com

Báo cáo