Indice
Un progresso decisivo nel campo della cybersicurezza è stato realizzato da Codex, l’agente di codifica di OpenAI, che ha dimostrato la sua capacità di sfruttare autonomamente una falla critica di WordPress. Questa impresa riaccende le discussioni sul ruolo dell’intelligenza artificiale in materia di sicurezza informatica e caccia ai bug.
L’essenziale da ricordare
Immaginate un mondo in cui un’intelligenza artificiale può, da sola, scoprire una falla di sicurezza in uno dei sistemi di gestione dei contenuti più diffusi al mondo. Potreste essere uno sviluppatore WordPress o un amministratore di rete, e la semplice idea che la vostra piattaforma preferita possa essere compromessa da una macchina potrebbe preoccuparvi. Eppure, questa storia è ben reale. Codex, l’agente di OpenAI, ha dimostrato di poter andare ben oltre le sue funzioni iniziali di codifica per diventare un attore potente nella cybersicurezza.
La società francese YesWeHack ha pubblicato una nota indicando che Codex, l’agente IA sviluppato da OpenAI, è riuscito a sfruttare autonomamente una falla critica di WordPress. Questo colpo di scena è stato realizzato senza alcun intervento umano, dalla rilevazione della vulnerabilità fino all’esecuzione del codice a distanza. L’azienda ha condotto test rigorosi in cui Codex, alimentato dal modello GPT-5.6 Sol, ha brillantemente dimostrato le sue competenze in materia di cybersicurezza.
Codex ha attaccato un’incoerenza nell’API di elaborazione batch di WordPress, trasformandola in un’iniezione SQL sfruttabile. Questo risultato è stato verificato indipendentemente da ricercatori prima di rilanciare l’IA per vedere se la falla potesse essere sfruttata ulteriormente. Con un costo di calcolo stimato a soli 25 dollari, questa realizzazione mette in luce il potenziale dell’IA nell’identificazione e sfruttamento delle vulnerabilità software.
Per testare la robustezza di Codex, YesWeHack l’ha confrontato con sfide della piattaforma PortSwigger. Durante un esercizio, Codex doveva identificare una falla XSS nella gestione dei messaggi tra finestre del browser. Sebbene inizialmente si fosse smarrito cercando elementi inesistenti, ha rapidamente rettificato la sua strategia per risolvere il problema in meno di quattro minuti.
Un secondo test coinvolgeva un token di autenticazione JWT mal sicuro. Codex ha inizialmente tentato un approccio diretto, ma ha poi optato per un metodo più sottile, manipolando un parametro del token per farsi passare per un amministratore. Questa prova di concetto è stata realizzata in poco più di un minuto, sottolineando ancora una volta le capacità dell’IA.
Parallelamente, YesWeHack ha confrontato Codex con Claude Code, uno strumento concorrente sviluppato da Anthropic. I risultati hanno mostrato che Codex era più performante, capace di portare a termine dimostrazioni dove Claude Code necessitava di un intervento umano. Tuttavia, YesWeHack mette in guardia contro i test non standardizzati e ricorda che le IA possono ancora commettere errori, sottolineando l’importanza della validazione umana.
OpenAI, con Codex, apre prospettive affascinanti per l’utilizzo dell’IA nella cybersicurezza. L’agente IA ha dimostrato di poter essere un alleato prezioso nella caccia alle vulnerabilità, capace di trattare grandi quantità di dati rapidamente ed efficacemente. Tuttavia, la domanda rimane: fino a che punto ci si può fidare di un’intelligenza artificiale per compiti così critici?
La capacità di Codex di identificare una falla complessa in WordPress solleva domande sull’etica e la responsabilità dell’uso dell’IA nella cybersicurezza. Mentre l’automazione della sicurezza sembra inevitabile, è cruciale mettere in atto delle salvaguardie per garantire che questi strumenti non siano utilizzati a fini malevoli.
Nonostante i progressi promettenti, l’IA nella cybersicurezza non è priva di sfide. Esperti come YesWeHack sottolineano che la validazione umana rimane indispensabile per confermare le scoperte dell’IA. Senza un intervento umano, il rischio di errori o falsi positivi aumenta, il che potrebbe avere conseguenze disastrose.
Aziende come Google e Facebook lavorano anche su soluzioni IA per rafforzare la sicurezza delle loro piattaforme. Tuttavia, la crescente complessità dei sistemi e delle reti significa che l’IA da sola non può risolvere tutto. Una stretta collaborazione tra esperti umani e macchine è essenziale per garantire una sicurezza robusta e affidabile.
Cos’è Codex di OpenAI?
Codex è un agente di codifica sviluppato da OpenAI, progettato per scrivere codice e manipolare file tramite comandi in linguaggio naturale. Ha recentemente dimostrato la sua capacità di sfruttare falle di sicurezza in modo autonomo.
Come ha fatto Codex a sfruttare una falla di WordPress?
Codex ha identificato un’incoerenza nell’API di elaborazione batch di WordPress, che ha trasformato in un’iniezione SQL sfruttabile, dimostrando così la sua capacità di ragionare e sfruttare vulnerabilità complesse.
Perché la validazione umana è importante nell’uso dell’IA per la cybersicurezza?
La validazione umana è necessaria per verificare le scoperte dell’IA, minimizzare gli errori potenziali e assicurarsi che le prove ottenute siano affidabili. L’umano gioca un ruolo cruciale nella verifica e nella presa di decisioni finali.
Quali altri strumenti concorrenti di Codex esistono?
Claude Code, sviluppato da Anthropic, è uno strumento concorrente di Codex. Sebbene performante, necessita a volte di un intervento umano per completare alcune attività, a differenza di Codex che ha dimostrato un’autonomia più elevata durante i test.