FreeBSD nu este software-ul dvs. de consum obișnuit. Rulează sistemul de livrare de conținut Netflix. Se află în centrul sistemului de operare PlayStation. WhatsApp și-a construit infrastructura pe el. De zeci de ani, FreeBSD a fost considerat un model de fiabilitate – baza sa de cod este matură, testată și consolidată de ingineri care iau în serios securitatea. Și totuși, inteligența artificială, după ce a primit doar o notificare a unei vulnerabilități, a construit un lanț de atac complet. A deturnat firele de nucleu, a scris shellcode prin mai multe pachete de rețea și a obținut acces root în spațiul utilizatorului. AI tocmai a spart unul dintre cele mai sigure sisteme de operare din lume.
Cum sa întâmplat
Săptămâna trecută, FreeBSD a publicat o notificare de securitate pentru vulnerabilitatea de execuție a codului la distanță CVE-2026-4747 din nucleul său. Anunțul spunea: „Nicholas Carlini folosind Claude, Antropic”. Dar această formulare nu reflectă amploarea a ceea ce s-a întâmplat. AI nu doar a semnalat cod suspect sau a identificat o eroare potențială. El a dezvoltat două exploit-uri de lucru de la zero care oferă acces superutilizator la servere neprotejate. Acest lucru i-a luat agentului aproximativ patru ore de timp de calcul.
Pentru cei care urmăresc securitatea cibernetică, acesta este un punct de cotitură. Umanitatea a trecut Rubiconul de la AI ca un instrument pentru a ajuta cercetătorii de securitate la AI ca agent autonom capabil să desfășoare operațiuni ofensive complexe împotriva sistemelor active.
Șase probleme pe care AI le-a rezolvat
Vulnerabilitatea exploatată de agent există în modulul FreeBSD RPCSEC_GSS, care se ocupă de autentificarea Kerberos pentru serverele NFS. Un atacator poate provoca o depășire a stivei tampon fără autentificare prealabilă. Exploatarea acestui lucru a necesitat șase sarcini separate: crearea unui mediu de testare cu un nucleu vulnerabil, dezvoltarea unei strategii de livrare a codului shellcode cu mai multe loturi, terminarea cu grație a firelor de nucleu capturate, depanarea offseturilor de stivă nevalide, crearea unui nou proces din contextul kernelului și ștergerea registrelor de depanare vechi. Fiecare dintre acești pași necesită o înțelegere profundă a elementelor interne ale sistemului de operare. Fiecare pas a fost efectuat autonom.
Economia securității cibernetice se prăbușește
Distincția dintre detectarea unei erori și exploatarea acestuia a separat de mult instrumentele automate de expertiza umană. Fuzzers au găsit vulnerabilități în kernel de zeci de ani. Dar transformarea unei erori într-o exploatare care funcționează necesită să ne gândim la structurile de memorie, să creăm lanțuri software complexe și să înțelegem dansul dintre nucleul cu acces complet și spațiul utilizatorului cu privilegii reduse. Aceasta a fost o piatră de hotar pe care doar oamenii au depășit-o cu încredere timp de zeci de ani. Acum AI l-a trecut.
Piața pentru exploit-uri zero-day este o piață pentru exploit-uri funcționale, nu bug-uri abstracte. Cele mai valoroase active nu sunt vulnerabilitățile în sensul academic, ci capabilitățile de încredere care pot fi implementate împotriva țintelor reale. Aceste active costă o avere pentru că sunt rare, costisitoare de creat și adesea rezervate celor mai sofisticate agenții de informații de pe Pământ. Atacul Stuxnet, care a ars mai multe exploatații zero-day împotriva unei instalații nucleare iraniene, a demonstrat că exploatările de lucru au devenit instrumente ale puterii naționale. Raritatea lor le-a determinat valoarea.
Acesta este motivul pentru care rezultatul cu FreeBSD este atât de important. Un cercetător care a lucrat cu un model avansat a trecut de la descoperirea unei vulnerabilități la crearea unui exploit de lucru în aproximativ patru ore. AI comprimă costurile, timpul și expertiza necesare anterior pentru a transforma cunoștințele profunde ale software-ului în capacități operaționale ofensive. O oportunitate care odată a semnalat investiții publice serioase începe să se miște în jos pe curba costurilor.
Apărarea pierde
Echipele de securitate au deja greu să închidă rapid vulnerabilitățile. Sondajele din industrie arată că timpul mediu pentru închiderea vulnerabilităților critice în mediile de întreprindere depășește șaizeci de zile. Între timp, AI poate dezvolta o exploatare funcțională în câteva ore de la dezvăluirea unei vulnerabilități. Fereastra dintre lansarea patch-urilor și funcționare s-a micșorat de la săptămâni la aproape zero. Organizațiile care tratează corecțiile ca pe o sarcină trimestrială funcționează pe un model de amenințare învechit.
Dezvoltarea unui exploit de nucleu a necesitat în mod tradițional săptămâni de muncă din partea specialiștilor care primesc salarii semnificative. O barieră în calea intrării organizațiilor protejate pur și simplu pentru că atacatorii competenți erau rari și scumpi. Inteligența artificială distruge această barieră. Munca de calcul care costă câteva sute de dolari realizează acum ceea ce înainte necesita o întreagă echipă. Curba ofertei pentru capabilitățile ofensive s-a schimbat brusc.
Nu un incident izolat, ci o nouă realitate
Același cercetător a folosit de atunci aceeași conductă bazată pe Claude pentru a descoperi alte cinci sute de vulnerabilități de mare severitate în diferite baze de cod. Metodologia este generalizată. Odată ce există o oportunitate, aceasta se răspândește. Agențiile guvernamentale, organizațiile criminale și cercetătorii independenți vor dezvolta conducte similare. Întrebarea nu este dacă exploatarea AI va deveni omniprezentă, ci cât de repede se va întâmpla.
Cicluri complet autonome de detectare a erorilor, fuzzing, generare de exploatare, exploatare și exfiltrare ulterioară ar putea genera un nou blitzkrieg. Războiul cibernetic.
Exploatarea FreeBSD nu este o anomalie. Aceasta este unele dintre primele dovezi clare că AI poate genera în mod autonom capacități ofensive care, cândva, necesitau un întreg program guvernamental. În următoarele douăsprezece luni, fiecare furnizor important de sisteme de operare, furnizor de cloud și operator de infrastructură critică se va confrunta cu aceeași întrebare: ați integrat AI în conducta de securitate sau încă vă apărați cu viteza umană împotriva amenințărilor care se mișcă la viteza mașinii? Cele cinci sute de vulnerabilități deja descoperite în conducta Carlini vorbesc de la sine. Ceasul bate.
