سرچ لائٹ سائبر کے سیکیورٹی محققین نے یہ ظاہر کیا ہے کہ OpenAI کا GPT-5.6 کوڈنگ ماڈل ورڈپریس میں API کی لاگت میں تقریباً $25 کے لیے ایک سنگین ریموٹ کوڈ پر عمل درآمد کے خطرے سے پردہ اٹھا سکتا ہے، یہ ایک ایسی تلاش ہے جو اس بات پر بڑھتی ہوئی تشویش کو واضح کرتی ہے کہ کس طرح فرنٹیئر AI ٹولز کو اسلحے کے ذریعے استعمال کیا جا سکتا ہے۔
سرچ لائٹ سائبر کی ویب سائٹ پر شائع ہونے والی تحقیق سے پتہ چلتا ہے کہ GPT-5.6 سول الٹرا اور جان بوجھ کر کمزور ورڈپریس کوڈبیس سے لیس ایک واحد محقق، ریموٹ کوڈ پر عمل درآمد تک پہلے سے تصدیق کی رسائی سے لے کر ایک سلسلہ کی شناخت کرنے کے قابل تھا۔ نتیجہ بڑے لینگویج ماڈلز کی جارحانہ حفاظتی صلاحیت کے بارے میں ہونے والی بحث کے مرکز میں ہے، ایک تھیم جو تازہ ترین AI پیش رفتوں میں ٹریک کیا گیا ہے۔
$500,000 کی مارکیٹ میں $25 کی دریافت
تحقیق کی سرخی اس کی سخت معاشیات ہے۔ سرچ لائٹ سائبر کے مطابق، بروکرز کا استحصال کریں، وہ بیچوان جو کمزوریوں کو خریدتے ہیں اور انہیں حکومتوں اور نجی خریداروں کو دوبارہ فروخت کرتے ہیں، ایک قابل اعتماد ورڈپریس ریموٹ کوڈ پر عمل درآمد کی خرابی کے لیے $500,000 تک ادا کریں گے۔ ورڈپریس تمام ویب سائٹس کے تقریباً 40 فیصد کو طاقت دیتا ہے، جو ایک بنیادی RCE بگ کو غیر معمولی طور پر قیمتی بناتا ہے۔
اس بینچ مارک کے خلاف، محقق نے GPT-5.6 API کالز پر خامی تلاش کرنے کے لیے خرچ کیے گئے تقریباً $25 کو گرفتار کیا جا رہا ہے۔ کام کے لیے ایک بڑی ٹیم، خصوصی فزنگ انفراسٹرکچر، یا دستی آڈیٹنگ کے ہفتوں کی ضرورت نہیں تھی۔ اس کے بجائے، اس نے پہلے اصولوں سے ورڈپریس کے سورس کوڈ کے بارے میں استدلال کرنے کے لیے ایک قابل کوڈنگ ماڈل کو ہدایت کرنے پر انحصار کیا۔
محققین نے ایک مفت چیکر ٹول جاری کیا، wp2Shell.com، تاکہ منتظمین اس بات کا تعین کر سکیں کہ آیا ان کے ورڈپریس کے واقعات متاثر ہوئے ہیں۔ انہوں نے کہا کہ انہوں نے دفاع کو جواب دینے کے لیے وقت دینے کے لیے اشاعت کی مکمل تفصیلات روک دیں۔
ماڈل نے خامی کیسے پائی؟
دریافت کے مرکز میں ورڈپریس کا ہک سسٹم ہے، وہ طریقہ کار جو پلیٹ فارم کو اس کا بہت بڑا پلگ ان ماحولیاتی نظام فراہم کرتا ہے۔ 'wp_enqueue_scripts' یا 'publish_post' جیسے ناموں کے ساتھ ہکس، ورڈپریس لائف سائیکل کے تقریباً ہر مرحلے میں اپنی مرضی کے مطابق رویے کو منسلک کرنے کی اجازت دیتے ہیں۔ انہیں اعمال میں تقسیم کیا گیا ہے، جو ضمنی اثرات مرتب کرتے ہیں، اور فلٹرز، جو ڈیٹا کے گزرنے کے ساتھ ہی اس میں ترمیم کرتے ہیں۔
یہ لچک بھی ایک وسیع حملے کی سطح ہے۔ محققین نے جو کام مقرر کیا ہے وہ ایک سلسلہ تلاش کرنا تھا جو ایک غیر تصدیق شدہ نقطہ آغاز سے ریموٹ کوڈ پر عمل درآمد کی اجازت دیتا ہے، کامیابی کی تعریف سرور کے فائل سسٹم سے محفوظ فائل کو پڑھنے کی صلاحیت کے طور پر کی گئی ہے۔
GPT-5.6 Sol Ultra، OpenAI کے استدلال پر مبنی کوڈنگ ماڈل، نے تجزیہ کے ذریعے یہ جانچ کر کام کیا کہ ڈیٹا کیسے ورڈپریس کے ہکس سے گزرتا ہے اور ممکنہ طور پر خطرناک کارروائیوں میں۔ ماڈل کی طاقت پیٹرن کی آنکھیں بند کر کے تلاش کرنے میں نہیں ہے، بلکہ اجزاء کے درمیان تعامل کے بارے میں استدلال میں ہے، ایک ایسی صلاحیت جس میں حالیہ استدلال پر مرکوز ماڈل ریلیز کے ساتھ نمایاں طور پر بہتری آئی ہے۔
محققین نے مشق کو ایک ذخیرے کے ارد گرد تیار کیا جس میں ورڈپریس کی ایک کمزور کاپی موجود تھی، ایک سیٹ اپ جس میں کیپچر دی فلیگ چیلنج سے ملتا ہے جس میں کامیابی کا مطلب فلیگ فائل نکالنا ہے۔ لیکن انہوں نے اس بات پر زور دیا کہ بنیادی کمزوری کی کلاس حقیقی ہے اور MySQL چلانے والی پروڈکشن تعیناتیوں کو متاثر کرتی ہے، جو کہ زیادہ تر لائیو ورڈپریس سائٹس کے پیچھے ڈیٹا بیس ہے۔
دوہری استعمال کا مخمصہ
AI کمپنیوں کے طور پر زمینوں کی تلاش کو اس بات پر سخت جانچ پڑتال کا سامنا کرنا پڑتا ہے کہ ان کے ماڈلز کا غلط استعمال کیسے کیا جا سکتا ہے۔ سائبر جرم میں مدد کرنے کی صلاحیت کے لیے فرنٹیئر ماڈلز کا تیزی سے جائزہ لیا جا رہا ہے، اور صلاحیتوں میں اضافے کے ساتھ ہی نتائج مزید غیر آرام دہ ہو گئے ہیں۔ ایک ایسا ماڈل جو سیکڑوں ہزاروں ڈالر سے لے کر چند کافیوں کی قیمت تک ایک اہم مسئلے کو تلاش کرنے کی لاگت کو کم کر سکتا ہے، خطرے کے منظر نامے کو ٹھوس طریقوں سے نئی شکل دیتا ہے۔
محافظوں کا استدلال ہے کہ یہی صلاحیت دفاعی کام کو تیز کرتی ہے، جس سے سیکورٹی ٹیموں کو حملہ آوروں کے کرنے سے پہلے خامیوں کو تلاش کرنے اور ٹھیک کرنے میں مدد ملتی ہے۔ سرچ لائٹ سائبر خود اس لائن کے دونوں اطراف پر قابض ہے، جارحانہ تحقیق شائع کرتے ہوئے حملے کی سطح کا انتظام اور ڈارک ویب مانیٹرنگ ٹولز پیش کرتا ہے۔ wp2Shell چیکر دفاعی کیس کی شکل دیتا ہے: دریافت کو کسی ایسی چیز میں تبدیل کریں جس پر منتظمین فوری طور پر کام کر سکیں۔
لیکن عدم توازن کو نظر انداز کرنا مشکل ہے۔ API کلید کے ساتھ اکیلے محقق کو اب آڈیٹنگ کی طاقت تک رسائی حاصل ہے جس کے لیے پہلے ایک اچھی مالی امداد والی ٹیم کی ضرورت تھی۔ جیسے جیسے کمزوریوں کو تلاش کرنے کی لاگت گرتی ہے، بوجھ اس رفتار اور پیمانے پر منتقل ہو جاتا ہے جس پر ان کو باندھا جا سکتا ہے۔
ورڈپریس اور اس سے آگے کے لیے اس کا کیا مطلب ہے۔
ورڈپریس ماحولیاتی نظام کے لیے، تحقیق ایک یاد دہانی ہے کہ پلیٹ فارم کا ہک فن تعمیر، اس کی پلگ ان اکانومی کی بنیاد، بھی اس کا سب سے زیادہ نتیجہ خیز کمزور نقطہ ہے۔ سائٹ آپریٹرز کی حوصلہ افزائی کی جاتی ہے کہ وہ wp2Shell چیکر کو چلائیں، پلگ ان اور کور کو اپ ڈیٹ رکھیں، اور غیر تصدیق شدہ صارفین تک رسائی کو محدود کریں۔
مزید وسیع طور پر، تجربہ ایک تیز رفتار بحث میں ایک ڈیٹا پوائنٹ ہے جس کے بارے میں کھلی حفاظتی تحقیق اور جارحانہ AI صلاحیت کے پھیلاؤ کے درمیان لائن کو کہاں بیٹھنا چاہئے۔ جیسے جیسے کوڈنگ ماڈلز زیادہ قابل ہوتے ہیں، اس طرح کے مظاہرے زیادہ عام ہونے کا امکان ہے، کم نہیں۔
AI سے آگے رہیں
AI اور cybersecurity کا چوراہے اس سے زیادہ تیزی سے آگے بڑھ رہا ہے جتنا کہ کوئی بھی ٹیم ٹریک کر سکتی ہے۔ جارحانہ AI تحقیق، دفاعی ٹولز، اور اس کے بعد ہونے والے پالیسی مباحثوں کی رپورٹنگ کے لیے، AI Buzz Wire پر AI انڈسٹری کوریج کی پیروی کریں۔
مزید AI خبریں پڑھیں →
