Claude pomógł badaczowi wystawić sobie darmowe bilety VIP na niemal każdy festiwal w USA
Badacz bezpieczeństwa z pomocą Claude’a znalazł lukę pozwalającą wystawiać dowolne bilety na największe amerykańskie festiwale muzyczne.
👁 147 przeczytań
Bilet za 4000 dolarów, jedno kliknięcie i mogę wystawić ich sobie tyle, ile chcę. Tak Ian Carroll, badacz bezpieczeństwa prowadzący startup Seats.aero, opisuje moment, w którym zdał sobie sprawę, do czego uzyskał dostęp. W kwietniu, korzystając z modelu Claude Opus 4.7, znalazł technikę, która dała mu pełny dostęp do systemów firmy Front Gate Tickets - operatora obsługującego praktycznie każdy duży amerykański festiwal muzyczny, od Lollapalooza i South by Southwest po Austin City Limits i Bonnaroo.
Front Gate, podobnie jak Ticketmaster, należy do koncernu Live Nation Entertainment. Carroll odkrył w jego witrynie błąd, który - z pomocą Claude’a - pozwolił mu przejąć konto administratora, sięgnąć do milionów rekordów klientów i pracowników oraz wystawiać bilety na dowolne wydarzenie, o dowolnej wartości, dla siebie lub kogokolwiek innego.
Mogłem pójść na każde wydarzenie bez żadnych ograniczeń: dostać przepustkę za kulisy albo cokolwiek sprzedają super-VIP-om, nawet jeśli było wyprzedane.
- mówi Carroll w rozmowie z magazynem Wired.
Nie apokalipsa, lecz darmowy backstage
Obawy wokół autonomicznego hakowania przez AI zwykle dotyczą scenariuszy rodem z filmu: wykradzione kody startowe rakiet czy wyzerowane rezerwy bankowe. Ten przypadek pokazuje coś bardziej przyziemnego, ale równie wymownego. Zamiast atakować infrastrukturę krytyczną, wystarczyło poprosić model o pomoc w zdobyciu uprawnień superadministratora na stronie sprzedaży biletów.
Carroll nie skorzystał ze swojej nowej mocy. Zamiast wystawić sobie darmowe przepustki, zgłosił lukę do Front Gate. Firma twierdzi, że sprawę rozwiązano szybko.
„Zostało to naprawione w ciągu 24 godzin i możemy potwierdzić, że nie ma dowodów na wykorzystanie luki, wpływ na bilety ani na naruszenie danych klientów” - napisano w oświadczeniu przekazanym Wired. Rzecznik firmy podkreślił, że badacz „użył narzędzi wspieranych przez AI, by obejść standardowe zabezpieczenia firewalla i uzyskać dostęp do wewnętrznego API używanego przez skanery na wejściach na festiwalach, a nie do systemu konsumenckiego ani publicznego portalu logowania”.
Google · Twoje źródłaPromptowy wyżej w Twoim Google - jednym kliknięciemDodaj do preferowanych źródeł →Jak łatwo AI znajduje dziury
To, co najbardziej zaniepokoiło Carrolla, to nie sama luka, lecz łatwość, z jaką model podsunął mu kluczowe elementy techniki włamania. Badacz jest uczestnikiem Cyber Verification Program Anthropic - programu, który zatwierdzonym specjalistom pozwala używać narzędzi firmy do określonych funkcji ofensywnych.
„Sądzę, że jest bardzo duża szansa, że Claude mógłby znaleźć ten exploit od początku do końca, bez żadnego mojego udziału” - przyznaje Carroll.
Anthropic w odpowiedzi na pytania Wired stwierdził, że stworzył program właśnie po to, „by udostępnić zaawansowane możliwości bezpieczeństwa obrońcom, żeby mogli prowadzić dokładnie tego rodzaju badania, które pomagają uczynić kod na świecie bezpieczniejszym”. Firma dodała, że gdyby Carroll nie należał do programu, jego próba włamania do Front Gate zostałaby wykryta i zablokowana.
To rozróżnienie jest tu istotne. Anthropic sugeruje, że jego systemy potrafią odróżnić autoryzowanego badacza od napastnika i przerwać niedozwoloną aktywność. Pytanie, czy taka bariera utrzyma się w konfrontacji z kimś zdeterminowanym, pozostaje otwarte - a incydent z Front Gate pokazuje, że skala potencjalnych celów jest ogromna, bo dotyczy niemal każdego zakątka internetu, gdzie da się znaleźć błąd w kodzie.
Na razie luka jest załatana, a nikt nie dostał się na Bonnaroo za darmo. Ale przy narzędziach, które potrafią samodzielnie tropić słabe punkty stron internetowych, następnym razem badacz może nie być pierwszy.
Cały tydzień w AI, w jednym mailu
Wybrane premiery, narzędzia i analizy. Raz w tygodniu, prosto do skrzynki.
Zapisz się za darmo →
Podobne tematy na Promptowym
