Un team di ricercatori ha ricevuto un cospicuo premio da Google per aver creato una complessa catena di exploit che aggira la sandbox di Chrome, sfruttando anche l'intelligenza artificiale. La notizia solleva interrogativi sull'efficacia delle misure di sicurezza e sull'importanza di approcci proattivi come la DPIA.
Google ha recentemente riconosciuto il team di ricerca XBOW con un premio di 250.000 dollari per aver sviluppato una sofisticata catena di exploit in grado di eludere la sandbox del browser Chrome su Windows, permettendo l'esecuzione di codice malevolo al di fuori dell'ambiente protetto. Questo è il primo exploit completo per Chrome a essere premiato dal colosso tecnologico, segnando un punto di svolta nel suo programma di ricompense per vulnerabilità.
Il team XBOW, composto da Brendan Dolan-Gavitt, Andres Luksenberg, Baul Lee e Willem Pinckaers, ha impiegato in modo innovativo l'intelligenza artificiale, in particolare modelli linguistici avanzati come GPT-5.6 Sol di OpenAI, per velocizzare il processo di ricerca e sviluppo dell'exploit. L'IA è stata fondamentale in diverse fasi: dalla scansione del codice sorgente alla ricerca di potenziali falle, dalla generazione di ipotesi alla creazione di proof of concept e, infine, all'assemblaggio delle varie componenti dell'exploit. Tuttavia, i ricercatori sottolineano che il successo è stato reso possibile anche dalla loro profonda competenza umana, essenziale per guidare l'indagine, selezionare i target e integrare le diverse parti della catena di attacco.
La vulnerabilità è stata dimostrata con successo eseguendo il programma Windows Calculator da una pagina web, utilizzando una versione firmata di Chrome Beta. L'exploit ha sfruttato tre vulnerabilità distinte:
Falla nel compilatore Maglev: La prima vulnerabilità risiede nel compilatore ottimizzante Maglev del motore JavaScript V8 di Chrome. Durante il processo di deottimizzazione, Maglev ha erroneamente riutilizzato un oggetto numerico modificabile (HeapNumber) come se fosse immutabile. Questa incoerenza ha permesso agli attaccanti di ottenere accesso in lettura e scrittura alla memoria gestita da V8, compromettendo l'integrità dei dati.
Vulnerabilità nel decoding WebP tramite WebCodecs ImageDecoder: Una volta ottenuto il controllo sulla memoria di V8, l'exploit ha sfruttato una falla nel processo di decodifica delle immagini WebP animate. Modificando i dati delle immagini dopo che la loro geometria era stata memorizzata nella cache, si è creato un disallineamento tra il momento del controllo e il momento dell'utilizzo (TOCTOU - Time-of-check to time-of-use). Questo ha portato a un overflow di un buffer di memoria nativa, consentendo la scrittura mirata in aree sensibili della memoria e il reindirizzamento dell'esecuzione del codice WebAssembly.
Vulnerabilità nel gestore di crash Crashpad: L'ultima fase ha preso di mira Crashpad, il sistema di segnalazione dei crash di Chrome, che opera al di fuori della sandbox del renderer. Sfruttando una condizione in cui un thread di Windows poteva bypassare il blocco del processo e alterare le protezioni della memoria, mentre Crashpad assumeva che il renderer fosse sospeso, è stato possibile corrompere un oggetto di Crashpad. Questo ha permesso di reindirizzare le funzionalità legittime del gestore per eseguire codice non sandboxato, come il lancio di Windows Calculator.
Le vulnerabilità identificate sono state prontamente corrette da Google, con patch mirate a prevenire il riutilizzo improprio di HeapNumber modificabili, a garantire che i buffer di output WebP rimangano entro i limiti effettivi delle bitmap e a limitare i tentativi di retry di Crashpad. L'architettura modulare dell'exploit sviluppato da XBOW ha permesso ai ricercatori di sostituire vulnerabilità duplicate senza dover ricostruire l'intera catena, dimostrando un approccio efficiente allo sviluppo di exploit.
Questa scoperta non solo evidenzia la crescente sofisticazione degli attacchi informatici, ma anche il ruolo sempre più importante dell'intelligenza artificiale nello sviluppo di strumenti di attacco e difesa. Tuttavia, la notizia dell'exploit su Chrome giunge in un contesto in cui la sicurezza informatica, specialmente in ambiti sensibili come i trattamenti di dati per finalità di polizia, richiede un approccio più strutturato rispetto alla semplice applicazione di patch. Come evidenziato da recenti analisi, i presidi operativi in questi settori non nascono dal caso ma da una scelta progettuale fondamentale: la Valutazione d’Impatto sulla Protezione dei Dati (DPIA). Questo strumento, previsto dal decreto legislativo 51/2018, è il cuore di un'architettura di sicurezza che garantisce liceità, responsabilità e controllo, assicurando che ogni movimento del dato abbia una ragione, un responsabile, una traccia e un limite.
La DPIA, prima ancora che un sistema entri in funzione, individua, analizza e governa i rischi per i diritti e le libertà delle persone, dimostrando l'adeguatezza delle misure tecniche e organizzative adottate. Essa non è una semplice checklist, ma un sistema coerente che integra profilazione delle utenze, tracciamento delle operazioni, limitazione degli accessi e conservazione controllata dei dati. Senza una DPIA robusta, misure come il tracciamento rischiano di essere cieche e la conservazione dei dati inefficace.
Gli obblighi concreti derivanti dalla normativa, come l'articolo 25 del D.lgs. 51/2018, traducono queste esigenze in controlli specifici su accessi, conservazione, identificazione utenti, trasmissione e integrità dei sistemi. L'allegato tecnico del nuovo Patto per la sicurezza urbana declina questi principi in misure operative come protezioni fisiche, firewall, crittografia, backup protetti e gestione profilata delle credenziali.
In conclusione, mentre l'IA può accelerare la scoperta di vulnerabilità, la supervisione umana esperta rimane cruciale. Allo stesso tempo, per garantire una sicurezza informatica robusta e conforme alle normative, è indispensabile adottare approcci proattivi e progettuali come la DPIA, che vadano oltre la semplice correzione di falle una volta scoperte. Google incoraggia gli utenti ad aggiornare regolarmente Chrome per beneficiare delle correzioni di sicurezza implementate.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
