Yapay zeka araçlarının otonom hackleme yetenekleriyle ilgili korkular genellikle nükleer fırlatma kodlarının çalınması veya banka rezervlerinin sıfırlanması gibi kabus senaryolarını içerir. Ancak gerçekte çok daha olası bir senaryo, bir biletleme web sitesinde süper yönetici erişimi elde etmek ve ardından kendinize ve tüm arkadaşlarınıza Bonnaroo için ücretsiz VIP backstage geçiş kartları düzenlemektir. Bu, güvenlik araştırmacısı Ian Carroll'un Nisan ayında yapay zeka aracı Claude Opus 4.7'yi kullanarak keşfettiği bir teknikle mümkün oldu.
Carroll, Lollapalooza, South by Southwest ve Austin City Limits gibi ABD'deki neredeyse tüm büyük müzik festivallerinin biletlemesini yapan Front Gate Tickets sistemine tam erişim sağlayan bir yöntem buldu. Front Gate, Ticketmaster gibi etkinlik şirketi Live Nation Entertainment'ın bir yan kuruluşudur. Carroll, Claude'un yardımıyla web sitesindeki bir hatayı keşfetti ve bu hata sayesinde milyonlarca müşteri veya çalışan kaydına erişebildi ve herhangi bir etkinlik için herhangi bir değerde biletleri kendisine veya istediği kişiye ücretsiz olarak düzenleyebildi.
Seats.aero girişiminin kurucusu ve aynı zamanda bağımsız güvenlik araştırmacısı olan Carroll, "4.000 dolarlık bir bileti görmek ve bir düğmeye basarak istediğim kadar basabilmek oldukça havalıydı," dedi. "Hiçbir sınırlama veya kısıtlama olmadan her etkinliğe gidebilirdim: backstage geçiş kartı veya süper VIP'lere satılan her şeyi alabilirdim - tükenmiş olsa bile." Carroll, bu gücü kötüye kullanmadı ve bulgularını Front Gate'e bildirdi. Şirket, güvenlik açığını kapattığını doğruladı.
Önemli Gelişmeler
WIRED'ın ulaştığı Front Gate, Carroll'a teşekkür eden ve olayı güvenlik iyileştirmeleriyle sonuçlanan başarılı bir işbirliği olarak tanımlayan bir açıklama yaptı. Açıklamada, "Bu 24 saat içinde çözüldü ve herhangi bir istismar, bilet etkisi veya müşteri bilgilerinin tehlikeye girdiğine dair kanıt bulunmamaktadır. Sorun, AI destekli araçlar kullanan sorumlu bir güvenlik araştırmacısı tarafından tespit edildi; standart güvenlik duvarı kontrollerini atlayarak festival mekanlarındaki giriş tarayıcıları tarafından kullanılan bir dahili API'ye erişti - bu bir tüketiciye yönelik sistem veya genel giriş portalı değildi." denildi.
Detaylar ve Etkileri
Güvenlik açığı giderilmiş olsa da, bu olay yapay zekanın internetin her alanında hacklenebilir hataları ne kadar geniş bir şekilde ortaya çıkarabileceğini gösteriyor. Carroll, Anthropic'in siber güvenlik araştırmacılarının araçlarını belirli hackleme işlevleri için kullanmasına izin veren Siber Doğrulama Programı'nın bir parçası. Claude'un Front Gate sitesine sızma tekniğinin kilit unsurlarını ne kadar kolay bulduğuna şaşırdığını belirten Carroll, "Bence bu açığı baştan sona hiçbir şey yapmadan bulma ihtimali çok yüksekti," dedi.
Bu olay, yapay zeka destekli güvenlik araştırmalarının potansiyelini ve risklerini gözler önüne seriyor. Bir yandan, AI araçları güvenlik açıklarını hızlı ve etkili bir şekilde tespit ederek siber savunmayı güçlendirebilir. Öte yandan, kötü niyetli aktörlerin de benzer yöntemler kullanması durumunda büyük çaplı veri ihlalleri ve dolandırıcılık meydana gelebilir. Front Gate'in hızlı müdahalesi ve açığı kapatması olumlu bir örnek oluştururken, şirketlerin AI tabanlı tehditlere karşı sürekli tetikte olması gerektiğini hatırlatıyor.
Kaynak: wired.com
