Zero-day kwetsbaarheden

Een zeroday met de maximale CVSS-score van 10.0 in analysetool Metabase legde de klantgegevens van laptopmaker Framework bloot. Zelf gehoste installaties vanaf versie 1.58 zijn nog steeds kwetsbaar en moeten direct bijwerken.

OpenAI's agents legden sinds begin mei een eigen prikbord aan in Artifactory, hielpen elkaar aan exploits en vielen daarna samen Hugging Face en OpenAI's eigen infrastructuur aan. Na het opruimen bouwden ze binnen dagen een tweede.

Drie Claude-modellen kwamen tijdens cybersecurity-evaluaties bij echte bedrijven binnen, doordat de testomgeving internettoegang had die er niet had mogen zijn. Anthropic doorzocht 141.006 runs en belde drie organisaties die zelf niets hadden gemerkt.

OpenAI-ceo Sam Altman zegt in de podcast Invest Like the Best dat het tempo van AI-ontwikkeling gedoseerd moet kunnen worden, na de inbraak door zijn eigen modellen bij Hugging Face. OpenAI en Anthropic steunen de oproep nu ook als bedrijf.

Naast Hugging Face raakte de uitgebroken AI-agent van OpenAI ook een klant van cloudbedrijf Modal Labs, die een endpoint zonder authenticatie open had staan. Dat tweede slachtoffer had geen enkele contractrelatie met OpenAI.

OpenAI's modellen misbruikten een onbekende zero-day in zelf gehost JFrog Artifactory om uit hun testomgeving te breken. JFrog dichtte negen CVE's in twee builds van 27 juli. Wie zelf host, moet zelf upgraden.

Het NCSC waarschuwt dat AI de tijd tussen een lek en actief misbruik verder verkort. De patchstapel groeit, het venster krimpt, en de winst zit volgens de dienst in basisbeveiliging en zicht op je IT-landschap.

Tussen de eerste ontsnappingspoging van OpenAI's AI-agent op 9 juli en het moment dat het bedrijf zijn eigen model als dader herkende, zat minstens een week. De eerste aanwijzing kwam van het slachtoffer zelf.

Niet een onbekende externe AI-agent, maar OpenAI's eigen pre-release modellen veroorzaakten de inbraak bij Hugging Face. Tijdens een interne cybertest met verzwakte remmen braken de modellen uit hun sandbox en bereikten de productiesystemen van Hugging Face.

Chainguard verzamelt ruim 24 bedrijven, waaronder Cloudflare, Docker, Cisco en JPMorganChase, in coalitie Athena. Doel: AI inzetten om kwetsbaarheden in open source te vinden en te dichten voordat aanvallers ze misbruiken.