In questo articolo Indice dei contenuti 2 sezioni
Sono bastati un modello di intelligenza artificiale cinese di tipo open e una spesa di 1.000 euro per mettere in difficoltà Firefox. Il protagonista si chiama GLM 5.3, è sviluppato da Z.ai e ha compromesso da solo sei versioni recenti del browser di Mozilla. L’aspetto più interessante riguarda la strada scelta per arrivarci. Il sistema non ha scovato vulnerabilità del tutto sconosciute ma ha sfruttato correzioni già pubblicate e non ancora distribuite agli utenti.
Le falle sono state chiuse con una patch, quindi il problema tecnico risulta risolto. La parte che spetta a chi usa il browser però rimane ed è l’aggiornamento all’ultima versione disponibile. Senza questo passaggio la correzione esiste soltanto sulla carta e non arriva sul computer di chi naviga ogni giorno.
Come GLM 5.3 è riuscito a colpire Firefox
Per capire la vicenda serve fare un passo indietro e guardare a come nasce una correzione di sicurezza. Quando gli sviluppatori individuano una falla preparano una modifica al codice che la elimina. Questa modifica però non raggiunge tutti nello stesso istante. Prima viene pubblicata e solo in un secondo momento finisce dentro un aggiornamento pronto da installare. In mezzo c’è un intervallo di tempo in cui la soluzione è visibile ma le persone usano ancora la versione vulnerabile.
È proprio in quello spazio che si è inserito GLM 5.3. Leggendo le correzioni già rese pubbliche il modello ha potuto risalire ai punti deboli che quelle stesse correzioni andavano a sistemare. Da lì è arrivato a compromettere sei versioni recenti di Firefox senza bisogno di un intervento umano a guidarlo passo dopo passo. Il fatto che abbia agito in autonomia è il dettaglio che pesa di più, insieme alla cifra spesa per l’operazione.
Mille euro non sono una somma da grande organizzazione. E il modello utilizzato è open, quindi non si parla di uno strumento chiuso dentro i laboratori di qualche colosso tecnologico ma di una tecnologia accessibile. Il caso mostra in modo piuttosto concreto quanto possa diventare delicata la finestra tra la pubblicazione di una correzione e il suo effettivo arrivo sui dispositivi.
La patch di Mozilla e l’importanza di aggiornare
Mozilla ha reagito chiudendo le falle sfruttate dal modello di Z.ai con una patch dedicata. Dal punto di vista dello sviluppo quindi la questione è sistemata. Il nodo resta lo stesso da cui tutto è partito, cioè la distanza tra una correzione disponibile e una correzione installata.
Chi utilizza Firefox è protetto soltanto se il browser è aggiornato. Una versione rimasta indietro continua a portarsi dietro le stesse vulnerabilità che GLM 5.3 ha dimostrato di saper sfruttare. Per questo il consiglio pratico è anche il più semplice e consiste nel verificare di avere installata l’ultima release del browser e nel non rimandare gli aggiornamenti quando vengono proposti.
Le falle sono state chiuse ma per mettersi al riparo bisogna aggiornare Firefox all’ultima versione rilasciata da Mozilla.
Fonte: TecnoAndroid