The Pulse
I bersagli Codex e LiteLLM di Pwn2Own cedono agli exploit
Il primo giorno di Pwn2Own Ireland, i ricercatori hanno sfruttato vulnerabilità di OpenAI Codex e LiteLLM, ottenendo premi da 15.000 a 40.000 dollari. Le regole della competizione richiedevano che gli exploit superassero i confini di sicure
AI.info Team · Scritto con l’IA ·
Pwn2Own Ireland ha fissato requisiti rigorosi per i suoi nuovi bersagli di IA: i ricercatori dovevano superare i confini di sicurezza, non limitarsi a indurre un agente a produrre risposte non sicure. Il 6 ottobre, primo giorno della competizione a Cork, i concorrenti hanno dimostrato exploit contro OpenAI Codex e LiteLLM, ottenendo premi compresi tra 15.000 e 40.000 dollari. I risultati hanno dato concretezza agli exploit contro bersagli che la Zero Day Initiative aveva annunciato a luglio.
Due bersagli di IA, due categorie di sicurezza
ZDI ha inserito LiteLLM nella categoria AI Infrastructure, insieme a prodotti tra cui Chroma e Oracle Autonomous AI Database. OpenAI Codex è entrato nella categoria separata Coding Agent, insieme ad Anthropic Claude Code. Le regole prevedevano un premio di 40.000 dollari e quattro punti Master of Pwn per un exploit riuscito contro Codex o LiteLLM.
Per LiteLLM, il tentativo doveva partire dal portatile di un concorrente collegato alla rete della competizione, e i ricercatori dovevano aggirare l’autenticazione se il bersaglio la supportava. Codex era sottoposto a una prova diversa: l’exploit doveva servirsi di una risorsa controllata dal concorrente, come un repository o una pagina web, per ottenere l’esecuzione di codice arbitrario oltre la sandbox e i permessi previsti per l’agente. Il bersaglio funzionava con le impostazioni predefinite di sandbox e isolamento su Windows 11 25H2; le modalità di esecuzione non sicure erano escluse.
«Abbiamo introdotto questi bersagli a Pwn2Own Berlin e abbiamo visto un tale… ehm… entusiasmo da parte della comunità che abbiamo deciso di riproporli subito per il nostro evento in Irlanda.»
Dustin Childs, autore dell’annuncio della Zero Day Initiative
Codex frutta 40.000 dollari; per LiteLLM c’è una collisione
ZDI ha dichiarato che Ikotas Labs ha sfruttato Codex con un solo bug di iniezione di argomenti, ottenendo l’intero premio di 40.000 dollari e quattro punti. I risultati pubblici della competizione descrivevano il metodo dell’exploit, ma non fornivano una spiegazione tecnica del funzionamento del bug. Il risultato attesta che l’exploit è riuscito nell’ambiente di prova della competizione; di per sé, non dimostra che ogni configurazione o distribuzione di Codex sia esposta.
LiteLLM è stato oggetto di più tentativi. Taisic Yun di Xint ha combinato un bug di validazione impropria dell’input con l’iniezione di codice per ottenere una reverse shell, aggiudicandosi l’intero premio di 40.000 dollari. Anche HaeJung Yang e ByungYoung Yi di Out of Bounds hanno dimostrato un exploit, ma ZDI lo ha classificato come una collisione: due dei quattro bug della squadra erano già noti, quindi il premio è sceso a 15.000 dollari e tre punti.
Le regole distinguono una vulnerabilità da un prompt
La categoria Coding Agent esclude i jailbreak dei modelli e i prompt che si limitano a convincere un modello ad agire in modo malevolo. Esclude inoltre le estensioni di terze parti e i server MCP non inclusi nel bersaglio, così come le vulnerabilità che richiedono modalità non sicure o senza vincoli di autorizzazione. I concorrenti dovevano invece dimostrare una vulnerabilità valida nell’agente e un’azione al di fuori dei confini di sicurezza previsti.
Questa distinzione è importante per interpretare i risultati: ZDI descrive l’exploit contro Codex come iniezione di argomenti e quello contro LiteLLM come un problema di validazione dell’input seguito da iniezione di codice, non come prova che i normali prompt, da soli, possano aggirare le loro misure di sicurezza. Pwn2Own Ireland prosegue fino al 9 ottobre; le dimostrazioni contro Codex e LiteLLM si sono svolte il giorno dell’apertura.