Avtonom AI agent EPICS-də dörd zəiflik tapdı, o cümlədən kritik RCE qüsuru

Avtonom AI agent EPICS açıq mənbəli proqram təminatı alətlər dəstində dörd zəiflik aşkar edib, o cümlədən zərrəcik sürətləndiricilərini və fuziya təcrübələrini idarə etmək üçün istifadə olunan sistemlərdə uzaqdan kod icrasına yol aça bilən kritik boşluq. Dördünün də EPICS Base-ə təsiri var və təşkilatlar düzəlişləri özündə birləşdirən 7.0.11 versiyasına yeniləməlidir.

Kritik və yüksək təhlükə səviyyəli qüsurlar

Ən ciddi problem CVE-2026-114595-dir, CVSS v3.1 üzrə 9.8 reytinqli kritik tam ədəd daşmasıdır. Bu, hücumçunun nəzarətində olan heap-dən kənar yazıya və potensial uzaqdan kod icrasına səbəb ola bilər. Digər üç qüsur yüksək təhlükə səviyyəli qiymətləndirilib. CVE-2026-114596 8.2 reytinqli, mesaj uzunluğunun düzgün yoxlanmaması qüsurudur və yaddaşda hüdudlardan kənar yazıya və kontrol prosesinin çökməsinə səbəb olur. CVE-2026-114597 7.5 reytinqli, hüdudların kifayət qədər yoxlanmaması xətasıdır və yaddaşda hüdudlardan kənar oxuma və proseslərin çökməsinə imkan verir. CVE-2026-114598 7.5 reytinqli tip qarışıqlığı qüsurudur; xidmətdən imtina vəziyyətinə səbəb ola bilər və qonşu yaddaş məzmununu açıqlaya bilər.

ABŞ Kibertəhlükəsizlik və İnfrastruktur Təhlükəsizliyi Agentliyi (CISA) EPICS zəiflikləri barədə çərşənbə axşamı məsləhət dərc etdi. CISA xəbərdarlıq etdi ki, uğurlu istismar hücumçuya xidmətdən imtina vəziyyəti yaratmağa, yaddaşı pozmağa, həssas məlumatı açıqlamağa və ya potensial olaraq ixtiyari kod icra etməyə imkan verə bilər.

Agent qüsurları dörd saatdan az müddətdə tapdı

Causal Security-nin həmtəsisçisi Shubham Raj bildirib ki, Cipher adlı AI agent əvvəllər naməlum olan dörd təhlükəsizlik boşluğunu müstəqil şəkildə tapıb. Agent tanış olmayan EPICS sistemini araşdırıb və sınaqdan keçirib, dörd istismarı üç saat 49 dəqiqəyə təsdiqləyib. Raj deyib ki, ilkin araşdırma insan müdaxiləsi tələb etməyib, ardınca təhlükəsiz mühitdə daha dərin istismar imkanı sınağını sanksiyalaşdıran bir təlimat verilib.

Cipher əvvəllər Şimali Amerika və Avropada istifadə olunan elektrik şəbəkəsi sistemlərində bir neçə kritik hücum yolunu tapmaq üçün istifadə olunub. Həmin iş 8 oktyabrda CISA təhlükəsizlik məsləhətinə səbəb olub. Raj Cipher-i texnologiya yığını boyunca mühakimə apara bilən tam avtonom super haker kimi təsvir edib.

Əhatə və yeniləmə narahatlıqları

EPICS əvvəlcə Los Alamos National Laboratory və Argonne National Laboratory tərəfindən hazırlanıb. O, operatorları fiziki cihazlara bağlayan paylanmış SCADA sistemlərini qurmaq və uzaqdan idarə etmək üçün istifadə olunur. Alətlər dəsti qlobal miqyasda təxminən 90 əsas elmi, universitet və sənaye layihəsində və obyektində istifadə olunur; bunlar arasında Argonne National Laboratory-nin Advanced Photon Source-u və ITER-in fuziya reaktoru idarəetmə sistemi var.

Raj deyib ki, real elmi obyektdə bu zəiflikləri istismar etməyin əsas şərti idarəetmə şəbəkəsindəki həssas EPICS xidmətlərinə çatmaq imkanıdır. Bu, şəbəkələr kifayət qədər seqmentləşdirilməyibsə və ya başqa bir sistem həssas EPICS şəbəkəsinə çıxışı varsa baş verə bilər. O əlavə edib ki, istismar dərin operativ texnologiya bilikləri və ya zərrəcik sürətləndiricilərinin və ya fuziya reaktorlarının necə işlədiyini anlamaq tələb etməz. Raj qeyd edib ki, ənənəvi istismar bacarıqlarına malik şəxs qüsurları araşdıra bilər və getdikcə daha qabiliyyətli AI sistemləri ixtisaslaşmış OT təcrübəsi olmadan istismarlar hazırlamağa kömək edə bilər.

Raj-ın sözlərinə görə, hücumçu zərrəcik sürətləndiricisinin fizikasını anlamaq lazım deyil ki, onu idarə edən proqramı pozsun. Kritik proseslərin çökməsi və ya monitorinq və idarəetmənin dayandırılması artıq ciddi əməliyyat nəticələrinə səbəb ola bilər. Qüsurlar həmçinin göstərir ki, AI agentləri bir vaxtlar qorunmaq üçün gizliliyə güvənən sənaye və operativ texnologiya sistemlərində zəiflikləri tapmaqda effektivdir.

Mənbələr: The Register