Anthropic'in Yapay Zeka Modeli Mythos Tarafından Bulunan Açık Aktif Olarak Sömürülüyor

Anthropic'in hata avlama süreçleri için geliştirdiği Mythos adlı yapay zeka modeli, siber güvenlik dünyasında dengeleri değiştirmeye devam ediyor. Modelin yakın zamanda keşfettiği ve CVE-2026-61500 olarak izlenen kritik zafiyet, kısa süre içinde gerçek dünya saldırılarında kullanılmaya başlandı. Horizon3 araştırmacısı Zach Hanley tarafından tespit edilen bu açık, Rejetto HTTP File Server (HFS) üzerinde tam yönetici yetkisi ve uzaktan kod yürütme (RCE) imkanı tanıyor.

VulnCheck güvenlik araştırmacısı Patrick Garrity, saldırıların Çin kaynaklı IP adreslerinden geldiğini ve ABD ile Japonya'daki savunmasız sunucuları hedef aldığını doğruladı. Garrity'nin takibine göre, Mythos ve Anthropic'in Project Glasswing girişimi bugüne kadar 286 farklı zafiyet ortaya çıkardı; ancak bu, söz konusu modelin keşfettiği ve aktif olarak sömürülen ikinci açık oldu. Saldırganların, izlerini gizlemek için genellikle ele geçirilmiş cihazları vekil sunucu (proxy) olarak kullandığı belirtiliyor.

Söz konusu güvenlik açığı, uygulamanın kullanıcıları kimlik doğrulama süreciyle doğrudan ilişkili. HFS, oturum çerezlerini imzalamak için `Math.random()` fonksiyonu ile üretilen rastgele bir değer kullanıyor. Ancak Mythos, V8 motorundaki bu fonksiyonun güvenli olmayan bir sözde rastgele sayı üreteci (PRNG) kullandığını ve çıktının tamamen tersine çevrilebilir olduğunu tespit etti.