Anthropic Claude Chrome Genişlənməsində Zero-Click XSS Prompt Injection-a İmkan Verən Boşluq Aşkarlanıb

Claude Genişlənməsində Aşkarlanan Ciddi Zəiflik

Kibertəhlükəsizlik mütəxəssisləri Anthropic şirkətinin süni intellekt əsaslı Claude botunun Google Chrome Genişlənməsində istifadəçinin heç bir klikinə ehtiyac duymadan təhlükəli Prompt Injection hücumlarına yol aça biləcək kritik bir zəiflik aşkarlayıblar. Bu boşluq, hər hansı bir veb səhifənin istifadəçinin brauzerində zərərli kodları icra etməsinə və ya assistantı manipulyasiya etməsinə imkan verirdi.

Hücum Mexanizmi və Təsir dairəsi

Koi Security tədqiqatçısı Oren Yomtovun The Hacker News-ə təqdim etdiyi hesabatda qeyd olunur ki, aşkarlanan boşluq ‘hər hansı bir veb saytın istifadəçi tərəfindən yazılmış kimi, assistanta səssizcə Prompt Injection etməsinə’ yol açırdı. Tədqiqatçı, hücumun həyata keçirilməsi üçün ‘heç bir klikə’ ehtiyac olmadığını vurğulayıb ki, bu da onu xüsusilə təhlükəli edən Zero-Click XSS (Cross-Site Scripting) kateqoriyasına aid edir.

Bu cür Zero-Click XSS Prompt Injection hücumları, təcavüzkarlara geniş imkanlar verə bilərdi. Bunlara istifadəçinin veb səhifəsində zərərli JavaScript kodlarının icrası, məxfi məlumatların (məsələn, kukilərin, tokenlərin) ələ keçirilməsi və ya Claude assistantını istifadəçinin icazəsi olmadan müəyyən əməliyyatları yerinə yetirməyə məcbur etmək daxil idi. Məsələn, zərərli veb sayt Claude-a istifadəçinin adından zərərli linklər yaratmaq və ya müəyyən məlumatları açıqlamaq üçün sorğular göndərə bilərdi.

Kibertəhlükəsizlik İcmasının Reaksiyası və Tövsiyələr

Bu cür təhlükəsizlik boşluqları adətən məsuliyyətli şəkildə aşkar edildikdən sonra satıcıya bildirilir və aradan qaldırılması üçün tədbirlər görülür. Hazırda Anthropic tərəfindən rəsmi düzəliş və ya yeniləmə haqqında məlumat verilməsə də, istifadəçilərə brauzer genişlənmələrini hər zaman ən son versiyada saxlamaq və yalnız etibarlı mənbələrdən yükləmək tövsiyə olunur.

Bu hadisə, süni intellekt əsaslı alətlərin və onların brauzer inteqrasiyalarının təhlükəsizliyinin nə qədər kritik olduğunu bir daha göstərir. Prompt Injection hücumları, AI modellərinin manipulyasiyası üçün yeni və inkişaf edən bir təhlükə kateqoriyası olaraq kibertəhlükəsizlik icmasının diqqət mərkəzində qalmaqda davam edir və gələcəkdə daha çox diqqət tələb edən bir sahə olaraq qalacaq.