Google har bekreftet at angripere brukte kunstig intelligens til å lage en zero-day-utnyttelse som kan omgå tofaktorautentisering. Avsløringen, som ble gjort av selskapets sikkerhetsteam, markerer en av de første dokumenterte tilfellene der AI ble direkte brukt til å bygge en tidligere ukjent sårbarhet.
AI-drevet angrep
Etterforskere sa at utnyttelsen rettet seg mot en feil i et ikke-navngitt system. I motsetning til tradisjonelle hackingmetoder ser det ut til at angriperne har brukt maskinlæringsmodeller for å generere kode som omgikk eksisterende forsvar og lurte tofaktorautentiseringsmekanismer. Google spesifiserte ikke hvilke autentiseringsprodukter som ble berørt, eller hvor mange brukere som kan ha blitt påvirket.
Tofaktorautentisering anses bredt som et kritisk sikkerhetslag. Ved å kreve et annet bekreftelsestrinn – ofte en kode sendt til en telefon eller generert av en app – er det ment å stoppe inntrengere som har stjålet et passord. Denne utnyttelsen gjorde den beskyttelsen ubrukelig.
Hva Google gjør
Selskapet sa at de har lappet sårbarheten og overvåker for lignende forsøk. De ga ikke ut tekniske detaljer, med henvisning til risikoen for etterligningsangrep. Sikkerhetsteam i Google analyserer nå den AI-genererte koden for å forstå hvordan modellen ble trent og hvilke data den brukte.
Bekreftelsen kommer mens sikkerhetsbransjen sliter med den raske utviklingen av AI-drevne trusler. Selv om forsvarere har brukt maskinlæring i årevis, viser denne hendelsen at angripere tar i bruk de samme verktøyene for å finne og utnytte svakheter raskere enn før.
Ubesvarte spørsmål
Det er ikke kjent om hackerne var statsstøttet eller del av en kriminell gruppe. Google ønsket ikke å si når utnyttelsen ble oppdaget eller hvor lenge den hadde vært aktiv. Selskapet sa heller ikke om noen kundedata ble stjålet.
Saken reiser et bredere spørsmål: hvor mange lignende AI-genererte utnyttelser finnes allerede der ute, uoppdaget? Foreløpig må sikkerhetsteamene prøve å ta igjen en trussel som kan utvikle seg i maskinhastighet.
