curl پروجیکٹ نے ورژن 8.22.0 بھیج دیا ہے جس میں چھ نئے انکشاف شدہ CVEs کے لیے اصلاحات ہیں، یہ سب ایک خودمختار AI سیکیورٹی سسٹم کے ذریعے پائے گئے ہیں جو اسٹارٹ اپ AISLE کے ذریعے بنائے گئے ہیں - اور یہ سبھی OpenAI اور Anthropic کے فرنٹیئر AI ماڈلز کے بعد دریافت ہوئے ہیں کہ عوامی طور پر یہ اطلاع دی گئی تھی کہ curl میں مزید کوئی کمزوریاں نہیں ہیں۔ AISLE محقق Stanislav Fort کی منگل کو شائع ہونے والی ایک بلاگ پوسٹ میں دستاویزی موازنہ، عام مقصد کے فرنٹیئر ماڈلز کے خلاف خصوصی AI سیکیورٹی ٹولز کے ابھی تک سب سے واضح ہیڈ ٹو ہیڈ ٹیسٹ کے طور پر سیکیورٹی کمیونٹی کی توجہ مبذول کر رہا ہے۔

بیس لائن غیر معمولی طور پر صاف تھی۔ 24 اگست کو، curl کے بانی ڈینیل اسٹینبرگ نے عوامی طور پر لکھا کہ اگلی ریلیز کے لیے صرف تین CVE زیر التوا ہیں، یہ نوٹ کرتے ہوئے کہ Anthropic کا Mythos ماڈل "کہتا ہے کہ اسے مزید کچھ نہیں مل سکتا" اور OpenAI کا Codex سیکورٹی سسٹم "خالی فہرست دکھاتا ہے" جب curl کا تجزیہ کرنے کے لیے کہا گیا، جو کہ ہر جگہ ڈیٹا کی منتقلی کے لیے دنیا میں اربوں ڈالر سے زیادہ ڈیٹا منتقل کیا گیا ہے۔ خلائی جہاز کو سمارٹ فرج۔ اس طرح کی مزید کہانیوں کے لیے، ہماری AI سیکیورٹی نیوز کی کوریج دیکھیں۔

راتوں رات صفر سے انتیس رپورٹس

AISLE نے پھر curl پر اپنے خود مختار AI نظام کی نشاندہی کی۔ اگلے دن، سٹینبرگ نے ایک لائن کا موازنہ پوسٹ کیا جو اس کے بعد سے بڑے پیمانے پر گردش کر رہا ہے: "Mythos: 0، Aisle: 29۔" ان 29 رپورٹس میں سے، curl کی سیکیورٹی ٹیم نے دنوں کے اندر چھ کا جائزہ لیا اور انہیں کافی سنجیدہ قرار دیا کہ وہ curl 8.22.0 میں عوامی CVE عہدوں کے قابل ہیں، جسے اب جاری کیا گیا ہے۔

AISLE اور اس کے محقق کو جمع کردہ چھ CVE یہ ہیں:

  • CVE-2026-80229 — OpenSSL فراہم کنندہ استعمال کے بعد مفت
  • CVE-2026-80230 — اوپن ایس ایس ایل پننگ بائی پاس
  • CVE-2026-80231 — مقامی CA اسٹور کنکشن کا دوبارہ استعمال
  • CVE-2026-80255 — ٹیب کے ساتھ محفوظ انتساب بائی پاس
  • CVE-2026-82208 — wolfSSL CA-cache ہٹ کال بیک کو اوور رائیڈ کرتا ہے
  • CVE-2026-82209 — ڈومین کے دائرہ کار میں عوامی لاحقہ کوکی

تمام چھ کو کم شدت کا درجہ دیا گیا ہے۔ AISLE اس درجہ بندی کے پروفائل کو curl کی غیر معمولی انجینئرنگ کی پختگی سے منسوب کرتا ہے: کئی دہائیوں کے آڈٹ کے بعد، جو کمزوریاں باقی رہتی ہیں وہ تنگ کنفیگریشنز اور اجزاء کے درمیان لطیف تعاملات میں چھپ جاتی ہیں، عملی اثرات کو محدود کرتی ہیں۔ تین 24 اگست کو، دو 26 اگست کو اور ایک 27 اگست کو رپورٹ ہوئے۔ 28 اگست تک، کرل کی زیر التواء CVE کی تعداد تین سے بڑھ کر دس ہوگئی، کمپنی کے اکاؤنٹ کے مطابق، AISLE سے چھ نئے نتائج سامنے آئے۔

یہ موازنہ کیوں اہمیت رکھتا ہے۔

سیکیورٹی محققین نے طویل عرصے سے AI سے چلنے والی کمزوری کی دریافت کو تھیٹر کے طور پر مسترد کر دیا ہے — کیپچر دی فلیگ چیلنجز یا بینچ مارکس کے خلاف مظاہرے ایسے معلوم جوابات کے ساتھ کیے گئے جو پہلے سے ہی ماڈل ٹریننگ ڈیٹا میں چھپ سکتے ہیں۔ یہ واقعہ ایک اہم لحاظ سے مختلف تھا: تجزیہ نے موجودہ پروڈکشن کوڈ کو نشانہ بنایا، اور کرل کے اپنے مینٹینرز نے، AISLE نے نہیں، دونوں کا فیصلہ کیا کہ آیا ہر ایک تلاش حقیقی تھی اور آیا یہ CVE کی ضمانت دیتا ہے۔ چونکہ AISLE نے اپنا سسٹم چلانے سے پہلے اسٹین برگ نے فرنٹیئر ماڈلز کے صفر کے نتائج کو عوامی طور پر دستاویز کیا تھا، اس لیے موازنہ میں ٹائم اسٹیمپڈ بیس لائن تھی جو وینڈر کے دعووں میں نایاب ہے۔

یہ وینڈر سیاق و سباق کو مدنظر رکھنے کے قابل ہے۔ AISLE ایک پروڈکٹ کے طور پر AI کوڈ آڈیٹنگ کو فروخت کرتا ہے، اور بلاگ پوسٹ اس کے "سسٹم اوور ماڈل" تھیسس کے لیے واضح مارکیٹنگ ہے - یہ دلیل ہے کہ خصوصی AI سسٹمز حقیقی دنیا کے صفر دن کی دریافت پر عام مقصد کے فرنٹیئر ماڈلز کو مات دے سکتے ہیں۔ ہیکر نیوز پر تبصرہ کرنے والوں نے بھی ایسا ہی مشاہدہ کیا، پوسٹ میں طریقہ کار کے بارے میں بہت کم تکنیکی تفصیلات موجود ہیں، حالانکہ کمپنی کے عوامی ضابطے پر بحث ایک ایسا نقطہ نظر تجویز کرتی ہے جو LLM کے ذریعے گائیڈڈ ٹارگٹنگ کو روایتی فزنگ کے ساتھ جوڑتا ہے: ماڈلز دلچسپ افعال کی نشاندہی کرتے ہیں اور ٹیسٹ ہارنیسز تیار کرتے ہیں، پھر فزر کے نتائج کو ٹرائیج کیا جاتا ہے۔ کمپنی نے اس سے قبل جون میں چھ curl CVEs کا انکشاف کیا تھا، جس میں اس نے پروجیکٹ میں اب تک کا سب سے پرانا مسئلہ بتایا ہے۔

پیٹرن curl سے آگے بڑھ سکتا ہے۔

سب سے زیادہ اشتعال انگیز سگنل کرل پروجیکٹ کے باہر سے آیا۔ گریگ کروہ-ہارٹ مین، جو لینکس کے مستحکم کرنل ریلیز کے دیرینہ دیکھ بھال کرنے والے ہیں، نے اسٹین برگ کی پوسٹ کا جواب دیتے ہوئے کہا، "میں لینکس کے لیے بھی ایسا ہی دیکھ رہا ہوں۔ کوئی اندازہ نہیں کہ آئل مختلف طریقے سے کیا کر رہی ہے، لیکن واہ۔" اگر ایک خصوصی AI سسٹم آزادانہ طور پر لینکس کرنل میں درست کمزوریوں کو سرفیس کر رہا ہے جو فرنٹیئر ماڈلز سے محروم ہیں، تو یہ خلا ایک کوڈ بیس کا نرالا نہیں ہے۔

انٹرپرائز سیکیورٹی ٹیموں کے لیے، ایپی سوڈ ایک وسیع تر تبدیلی کے درمیان اترتا ہے۔ OpenAI اور Anthropic سمیت لیبز نے سیکیورٹی کے کام کے لیے اپنے فرنٹیئر ماڈلز کی پوزیشننگ میں بہت زیادہ سرمایہ کاری کی ہے — OpenAI نے اس ہفتے اپنے Astra کو ایک "اہم" سائبر سیکیورٹی ماڈل کے طور پر تصدیق کی ہے - اور اب اوپن سورس سافٹ ویئر پر AI سسٹمز کے ذریعے کمزوریاں باقاعدگی سے پائی جاتی ہیں۔ کرل کا نتیجہ یہ بتاتا ہے کہ صرف فرنٹیئر ماڈل ہی پوری ٹول چین نہیں ہیں: صفر نتائج کی اطلاع دینے والا عمومی مقصد کا ماڈل اس بات کا ثبوت نہیں ہے کہ نتائج موجود نہیں ہیں۔

عملی اقدامات پہلے ہی نظر آ رہے ہیں۔ curl چلانے والی تنظیموں کو 8.22.0 پر اپ ڈیٹ ہونا چاہیے، جس میں تمام چھ CVEs کے لیے اصلاحات شامل ہیں۔ اور AI سیکیورٹی ٹولنگ کا جائزہ لینے والی ٹیموں کے لیے، جو معیار اہم ہے وہ یہ نہیں ہے کہ ایک ماڈل ڈبہ بند چیلنجز پر کس طرح کارکردگی کا مظاہرہ کرتا ہے، لیکن کیا اس کے نتائج حقیقی پروڈکشن کوڈ کے برقرار رکھنے والوں کے جائزے میں زندہ رہتے ہیں - جو معیار یہ چھ CVE ابھی پورا ہوا ہے۔

---

AI سے آگے رہیں

تازہ ترین AI خبریں، تجزیہ اور کامیابیاں حاصل کریں — سب ایک جگہ پر۔

مزید AI خبریں پڑھیں →