AnthoropicAI「Linuxカーネルのバグ使ったら完全掌握できた。簡単、ログインもパスも必要ない」

https://news.yahoo.co.jp/articles/57bf60c797b754f7462e741779cdde6a8e430d7e
最終防衛ライン、突破されました！
ログインせずに、サーバーを管理者として操作できてしまいました。攻撃を実証したのは、Anthropic（アンソロピック）のAIです。

10月27日の同社の公式発表では、AIがLinux（リナックス）の弱点を見つけ、ログインせずに管理者としてサーバーを操作できる攻撃コードを作成・実証したと報告しました。

Linuxはわたしたちが使うPCではあまり使われていませんが、サーバーやネットワーク機器、産業・研究用途でよく利用されているOSで、影響範囲は広いです。

今回使ったのは、社内で研究している未公開のAIです。「ここに問題があります」と教えるだけでなく、本当に攻撃できるかまで確かめています。

攻撃まで実証できるとなると、頼もしいような、怖いような…。
ログインしていないのに、なぜ操作できた？

問題が見つかったのは、Linuxの中核部分「カーネル」です。メモリや機器の管理など、OSの基本的な働きを支えています。

Anthropicが攻撃を実証した対象は、複数の通信経路を使う「Multipath TCP」の接続を受け付けるサーバーでした。

通信を処理するときの不具合を悪用すると、ログインなしで管理者権限の操作ができたといいます。利用者が怪しいリンクを開く操作も不要でした。

攻撃への対処には、サーバー側の修正が必要というのもネックです。

Red Hatの評価では、この問題の深刻さを表すスコアは10点満点中9.8で、最も深刻なランクに分類されています。

管理者として勝手に操作されれば、保存された個人情報などの盗難や書き換えにつながるおそれがあります。

利用者としても、戦々恐々とする事態ですよね。
修正版を公開済み。管理するサーバーの更新を確認しよう

幸い、Linuxの開発チームは、この問題を修正したバージョンを公開しています。

修正をサーバーに反映するには、使っているLinuxの提供元が配信する更新を適用させる必要があります。

たとえば、Amazon Linuxでは、脆弱性に対応する更新が公開されています。サーバーを管理している人は、使用中のバージョンが影響を受けるか、必要な更新が適用されているかを確認しておきましょう。