Sony выплатила $50 000 за уязвимость PS5, найденную с помощью ИИ

Sony выплатила исследователю под ником Jordy вознаграждение в размере $50 000 за обнаружение критической уязвимости в PlayStation 5. По данным IGN, ошибка позволяла выполнять код на уровне ядра и могла использоваться для запуска Linux на консоли.

Уязвимость находилась в гипервизоре PS5 и затрагивала версии системного программного обеспечения с 13.60 по 14.00. Jordy сообщил о проблеме через платформу HackerOne и получил максимальную сумму, предусмотренную Sony для критических уязвимостей.

В интервью IGN исследователь рассказал, что применял в работе генеративный искусственный интеллект. По его словам, тот же баг ранее обнаружил сотрудник Google Энди Нгуен, известный в сообществе под псевдонимом theflow0. Нгуен занимался проектом запуска Linux на PS5 и решил не раскрывать уязвимость до выхода GTA 6.

Нгуен попросил Jordy пока не сообщать о находке Sony, однако позднее эту же уязвимость обнаружил ещё один исследователь, также с помощью ИИ. После этого Jordy решил передать информацию компании. «Если я и ещё один человек смогли найти её с помощью LLM, это сможет сделать кто угодно», — объяснил он.

Вскоре после обращения Sony выпустила обновление, устранившее проблему. Из-за этого владельцам PS5, которые рассчитывали использовать уязвимость для запуска Linux, теперь приходится выбирать между сохранением старой версии прошивки и обновлением системы для доступа к новым функциям и играм.

Конфликт вокруг выхода GTA 6

Как рассказал IGN madwax0r, создатель трекера эмуляторов PS5 Kaishaku, для запуска GTA 6 Sony потребует установить последнюю версию системного ПО и подключиться к сети PlayStation Network. Если бы уязвимость сохранили до 19 ноября, пользователи могли бы обновить консоль, купить игру и одновременно использовать эксплойт для запуска Linux.

После закрытия бага владельцам, заинтересованным в Linux, остаётся не подключать консоль к интернету и не устанавливать обновления. Те, кто обновит PS5 ради GTA 6 и других сетевых возможностей, потеряют доступ к эксплойту.

Энди Нгуен резко отреагировал на ситуацию и заявил, что решил уйти из исследований безопасности PS5. Он написал, что потратил на проект месяцы и планировал добавить поддержку PS5 Pro к 2027 году, но теперь эти планы сорваны. Нгуен также раскритиковал исследователей, которые используют LLM для поиска уязвимостей, не всегда понимая принцип их работы.

Часть сообщества разработчиков любительского программного обеспечения обвинила Jordy в том, что он не стал ждать выхода GTA 6. Исследователь ответил, что деньги от Sony помогут ему заботиться о смертельно больной матери. Madwax0r отметил, что распространение ИИ может изменить практику поиска уязвимостей: если раньше критические ошибки в гипервизоре находили редко и их можно было долго не раскрывать, то теперь одну и ту же проблему почти одновременно способны обнаружить несколько человек.

Решение Jordy поддержали и другие пользователи. Один из них написал, что $50 000 помогут оплатить счета, тогда как мнение сообщества — нет.