Toronto-forskere bygget selvspredende orm med en åpen 2025-modell

Forskere ved University of Toronto brukte en offentlig tilgjengelig åpen modell sluppet i 2025 til å utvikle en dataorm som ifølge dem selv spredte seg gjennom et testnett for bedriftsmiljø, skriver The Register. Koden identifiserte kjente sårbarheter og feilkonfigurasjoner underveis, genererte og kjørte angrepene selv, og beveget seg sidelengs til nye maskiner.

Eksempelet er kjernen i argumentet flere sikkerhetstopper la fram under Black Hat og DEF CON: den praktiske trusselen kommer ikke først og fremst fra de lukkede frontmodellene, men fra vektene som allerede er lastet ned og distribuert.

«Jeg ville ikke bekymret meg for frontmodellene. Bekymre deg for modellene som allerede er ute på gata. Det viser seg at det er en alligator i båten, og det er commodity-modellene.» — Chris Inglis, tidligere nasjonal cyberdirektør i USA

John Hultquist, sjefanalytiker i Google Threat Intelligence Group, peker på at industrielle styringssystemer i praksis har vært beskyttet av at kunnskapen om dem er obskur og sitter hos noen få spesialister. Den beskyttelsen forsvinner når en angriper kan be en agent lære seg feltet fra bunnen. Inglis understreker samtidig at mange av sårbarhetene modellene finner ikke krever tilgang til kildekoden: de ligger i konfigurasjonen, og konfigurasjoner endrer seg over tid.

Det siste er poenget som treffer ditt eget oppsett. En åpen modell på egen maskin er like god til å lese en feilkonfigurert reverse proxy eller et glemt admingrensesnitt som den er til å skrive kode.

Hva bør du gjøre?

1. Behandle feilkonfigurasjoner som en angrepsflate på linje med uoppdaterte pakker, siden det er der de åpne modellene er sterkest.
2. Sjekk at ingen styrings- eller admingrensesnitt ligger eksponert mot internett med standardpassord eller svake passord.
3. Kjør en åpen modell mot ditt eget oppsett og se hva den finner, før noen andre gjør det samme uten å si fra.