AI phát hiện lỗi vượt qua OTP nghiêm trọng trên website production của một công ty bảo hiểm
Trong một cuộc đánh giá bảo mật được ủy quyền, một tác nhân AI chuyên kiểm thử xâm nhập đã tự phát hiện lỗi vượt qua xác thực nghiêm trọng trên website production của một công ty bảo hiểm lớn. Luồng đăng nhập cho phép người dùng chọn nơi gửi mã OTP, tức mã tạm thời dùng để đăng nhập, qua đó làm suy yếu bước kiểm tra danh tính. Khai thác lỗi khá đơn giản, nhưng chứng minh lỗi một cách an toàn trên website đang hoạt động mà không gây ảnh hưởng mới là phần khó hơn. Vụ việc cho thấy các tác nhân AI có thể tự phát hiện lỗ hổng nghiêm trọng, nhưng con người vẫn phải giám sát chặt chẽ khi kiểm thử hệ thống production.
Các đội bảo mật nên xem AI pentesting là công cụ hỗ trợ phát hiện lỗi xác thực, nhưng phải giới hạn phạm vi và có quy trình phê duyệt chặt chẽ khi kiểm thử hệ thống production. Doanh nghiệp cũng nên kiểm tra lại luồng gửi OTP để người dùng không thể tự ý thay đổi đích nhận mã trong quá trình đăng nhập.
Đọc bài gốc