Ötös fokozatú vészhelyzet: állami hátterű támadók törtek be az F5-höz, a CISA azonnali intézkedést sürget
Amikor egy kiberbiztonsági céget törnek fel, az mindig rossz hír. De amikor egy állami hátterű csoport ellopja a legérzékenyebb adataikat, az már katasztrófa. Pontosan ez történt a héten, amikor az F5 több mint 40 sebezhetőséget hozott nyilvánosságra, és bejelentette, hogy egy állami támadó bizalmas, belső információkat lopott el a technológiájukról és a biztonsági kutatásaikról. Az eset olyan súlyos, hogy az amerikai kormány azonnali riasztást adott ki.
Az F5 bejelentésére reagálva az amerikai Kiberbiztonsági és Infrastruktúra-védelmi Ügynökség (CISA) kiadta az ED 26-01 vészhelyzeti direktívát. Ebben arra utasítja a szövetségi ügynökségeket, hogy mérjék fel az F5 BIG-IP termékeiket, állapítsák meg, hogy azok elérhetők-e a publikus internetről, és azonnal telepítsék a szükséges frissítéseket.
A CISA konkrétan előírja az ügynökségeknek, hogy október 22-ig frissítsék a sebezhető F5 virtuális és fizikai eszközeiket, valamint a letöltött szoftvereket – köztük az F5OS, BIG-IP TMOS, BIG-IQ és BNK/CNF rendszereket –, és kövessék az F5 negyedéves biztonsági közleményében leírtakat.
Madhu Gottumukkala, a CISA megbízott igazgatója hangsúlyozta, hogy nemcsak a szövetségi ügynökségeknek, hanem minden szervezetnek kiemelten kell kezelnie az F5 incidenséből fakadó kockázatokat. Ezek a sebezhetőségek ugyanis „riasztóan könnyen” kihasználhatók, és katasztrofális következményekkel járhatnak. „Nyomatékosan kérünk mindenkit, hogy haladéktalanul hajtsa végre a vészhelyzeti direktívában foglalt intézkedéseket” – tette hozzá.
Robert Huber, a Tenable kutatási vezetője és biztonsági igazgatója egy blogposztban úgy fogalmazott, hogy az F5 feltörése egy „ötös fokozatú, azonnali beavatkozást igénylő nemzetbiztonsági vészhelyzet”. Hozzátette, hogy az F5 technológiája alapvető fontosságú „szinte minden” védelméhez, beleértve a kormányzati szerveket és a kritikus infrastruktúrát is.
„Egy ellenséges szereplő kezében ezek az ellopott adatok egyfajta mesterkulcsot jelentenek, amivel pusztító támadásokat indíthatnak, hasonlóan a Salt Typhoon és a Volt Typhoon kampányaihoz” – írta Huber. „A SolarWinds óta nem láttunk ekkora méretű, szoftverellátási láncot érintő támadást.”
ChatGPT a támadók szolgálatában: az OpenAI szerint a régi trükköket turbózzák fel vele
Kártékony kódok írása és finomítása. Rosszindulatú C2 (command-and-control) központok felállítása. Többnyelvű adathalász tartalmak generálása. Kiberátverések végrehajtása. Az OpenAI friss jelentése szerint a kiberbűnözők és csalók többek között ezekre próbálták használni a ChatGPT-t az utóbbi időben.
Az OpenAI hét esetet tárt fel és hiúsított meg, de a legfőbb tanulság az, hogy a támadók nem sci-fi-be illő szuperfegyvereket próbálnak fejleszteni a ChatGPT segítségével. Sokkal inkább a már jól bevált, klasszikus átveréseiket akarják „szteroidokra tenni”.
„Azt látjuk, hogy a fenyegetést jelentő szereplők a mesterséges intelligenciát a már meglévő, régi módszereikre csavarozzák rá, hogy gyorsabban haladjanak, nem pedig azért, hogy a modelljeinkből újfajta támadási képességekre tegyenek szert” – írja az OpenAI.
A jelentés a következő főbb trendeket azonosította:
- A támadók a nyelvi modelleket használják a már létező kártékony kódjaik finomítására és a szkriptjeik hibakeresésére.
- Az MI segítségével próbálják elrejteni a rosszindulatú tevékenységüket, például adathalász e-mailek és közösségi média posztok megírásával.
- A modelleket arra használják, hogy nyílt forráskódú eszközöket és API-kat kutassanak fel, majd ezekhez generáljanak kódrészleteket a saját rosszindulatú kampányaikhoz.
A jelentésben részletezett esetek többek között a következő csoportokhoz köthetők:
- Bad Grammar: Egy nigériai csoport, amely adathalász e-maileket és csalásokat finomított a ChatGPT segítségével.
- STAC49: Egy észak-koreai csoport, amely a modellt arra használta, hogy nyilvános sérülékenységeket kutasson, és tartalmakat generáljon lándzsás adathalász (spear-phishing) kampányokhoz.
„A nyilvános jelentéseinkkel, a szabályzataink betartatásával és az iparági szereplőkkel való együttműködéssel célunk, hogy felhívjuk a figyelmet a visszaélésekre, miközben javítjuk a hétköznapi felhasználók védelmét” – közölte az OpenAI.
Az LLM-ek adat-mérgezése egyszerűbb, mint gondoltuk: egy új kutatás megdöbbentő eredményekkel szolgált
Ha a nagy nyelvi modellek (LLM) biztonságáról van szó, a nagyobb nem feltétlenül jobb. Sokan azt hitték, hogy a nagyobb modelleket nehezebb „megmérgezni” (data poisoning). Nos, az Anthropic friss kutatása szerint ez egyáltalán nincs így.
A kutatásból kiderült, hogy egy támadónak nincs szüksége arra, hogy az LLM tanítóadatainak hatalmas százalékát irányítsa. Egy kicsi, fix mennyiségű adat is elegendő egy hátsó kapu (backdoor) létrehozásához.
„250 rosszindulatú dokumentumot létrehozni gyerekjáték a többmillióhoz képest, ami ezt a sebezhetőséget sokkal elérhetőbbé teszi a potenciális támadók számára” – olvasható az Anthropic cikkében.
Sőt, ahogy a modellek egyre nagyobbak és az adathalmazaik egyre terebélyesebbek lesznek, az adat-mérgezéses támadások egyre könnyebbé válnak. „A rosszindulatú tartalmak bejuttatására szolgáló támadási felület arányosan nő, miközben a támadóval szembeni követelmények szinte változatlanok maradnak” – áll a tanulmányban.
A kutatás, amelyet a brit MI Biztonsági Intézettel és az Alan Turing Intézettel közösen végeztek, egy viszonylag ártalmatlan hátsó kapura fókuszált: úgy manipulálták az LLM-et, hogy az egy adott kifejezés beírásakor értelmetlen szöveget, azaz halandzsát generáljon. A kutatók a <SUDO> aktiváló kifejezést illesztették be a tanító dokumentumok egy kis részébe. Azt találták, hogy míg 100 megmérgezett dokumentum nem volt elég, 250 vagy annál több már megbízhatóan létrehozta a hátsó kaput az összes tesztelt modellméretben, 600 milliótól egészen 13 milliárd paraméterig.
(Forrás: Anthropic cikk: „A small number of samples can poison LLMs of any size,” 2025. október)
Az egyelőre nem világos, hogy a kutatás eredményei érvényesek-e a komplexebb viselkedésekre, például a biztonsági korlátok megkerülésére vagy rosszindulatú kód generálására. „Ennek ellenére megosztjuk ezeket az eredményeket, hogy bemutassuk, az adat-mérgezéses támadások a gyakorlatban sokkal könnyebben kivitelezhetők lehetnek, mint hittük, és hogy további kutatásokra ösztönözzünk a témában és a lehetséges védekezési módszerek terén” – írják.
Bár a tanulmány nem a védekezési módszerekre koncentrált, javasol néhány enyhítő intézkedést. Ilyen például a „tiszta tanítás” gyakorlata (clean training), amely bizonyos esetekben segíthet eltávolítani a hátsó kapukat. „A védekezést a tanítási folyamat különböző szakaszaiban lehet kialakítani, például az adatok szűrésével a tanítás előtt, vagy a hátsó kapuk észlelésével és előhívásával a modell betanítása után, hogy felderítsük a nemkívánatos viselkedéseket.”
Az MI és a kiberbiztonság már az igazgatótanácsban is téma: egyre komolyabban veszik a cégvezetők
A Fortune 100-as cégek igazgatótanácsai egyre több és egyre tartalmasabb információt hoznak nyilvánosságra az MI és a kiberbiztonság felügyeletével kapcsolatban. Ez is jelzi, hogy ezek a területek egyre nagyobb hatással vannak a vállalatok működésére. Az EY jutott erre a következtetésre, miután elemezte a Fortune 100-as listán szereplő 80 vállalat által az elmúlt években az amerikai tőzsdefelügyelethez (SEC) benyújtott hivatalos dokumentumokat.
„A vállalatok reflektorfénybe helyezik a technológiai irányításukat, ezzel is jelezve az érintettek felé, hogy egyre nagyobb hangsúlyt fektetnek a kiber- és MI-felügyeletre” – áll az EY jelentésében.
Mi áll a trend hátterében? A kibercsapdák percről percre kifinomultabbá válnak, miközben a generatív MI használata – mind a védelmi csapatok, mind a támadók részéről – exponenciálisan növekszik.
A jelentés főbb megállapításai az MI felügyeletéről:
- A cégek 83%-a tesz említést az MI felügyeletéről (szemben a korábbi 39%-kal).
- A vállalatok 61%-ánál egy külön igazgatótanácsi bizottság felel az MI kockázatokért.
- A leggyakrabban a teljes igazgatótanács (49%) vagy az audit bizottság (41%) felügyeli az MI-t.
Eközben a kiberbiztonsági felügyeleti gyakorlatok is kiforrottabbá váltak:
- A cégek 99%-a hoz nyilvánosságra információt az igazgatótanácsi szintű kiberbiztonsági felügyeletéről.
- A vállalatok 83%-ánál van egy dedikált bizottság, amely a kiberbiztonsággal foglalkozik.
„Ezeknek a területeknek az igazgatótanácsi szintű felügyelete kritikus fontosságú a kockázatok azonosításához és mérsékléséhez, amelyek komoly fenyegetést jelenthetnek a vállalatra nézve” – zárul a jelentés.
Hetente négy, országos szintű kibertámadás éri az Egyesült Királyságot
Az Egyesült Királyságban a nemzeti jelentőségű kibertámadások száma heti négyre ugrott. Ez a statisztika nemcsak a brit kiber-védelmi szakemberek, hanem minden üzleti vezető számára is komoly figyelmeztetés. Ez derül ki az Egyesült Királyság Nemzeti Kiberbiztonsági Központjának (NCSC) 2025-ös éves jelentéséből.
„A kiberkockázat már nem csupán egy IT-probléma, hanem igazgatótanácsi szintű prioritás” – olvasható a jelentésben. A „nemzeti jelentőségű” kiberincidensek száma több mint duplájára, 89-ről 204-re nőtt az elmúlt 12 hónapban (2025 szeptemberéig bezárólag).
A támadások súlyossága is növekszik. A jelentés szerint közel 50%-kal emelkedett a „kiemelten súlyos” incidensek száma – ezek azok, amelyek súlyosan érinthetik a központi kormányzatot, az alapvető szolgáltatásokat, a lakosságot vagy a gazdaságot.
„A kiberbiztonság ma már az üzleti túlélés és a nemzeti ellenállóképesség kérdése” – nyilatkozta Richard Horne, az NCSC vezérigazgatója. „A komoly következményeknek való kollektív kitettségünk riasztó ütemben növekszik.”
Az NCSC a támadások nagy részét kifinomult, állami hátterű (APT) szereplőknek, valamint magasan képzett bűnözői csoportoknak tulajdonítja. Az elsődleges állami fenyegetést Kína, Oroszország, Irán és Észak-Korea jelenti.
A növekvő fenyegetésre válaszul az NCSC arra sürgeti a brit vállalkozásokat, hogy kezeljék kiemelten a kiberbiztonsági intézkedéseiket, mondván, hogy a kiberbiztonság „ma már kritikus fontosságú az üzleti hosszú élettartam és siker szempontjából”. Ennek érdekében az NCSC egy új „Cyber Action Toolkit” nevű eszköztárat indított, amely a kisvállalkozásoknak segít az alapvető biztonsági kontrollok bevezetésében, valamint népszerűsíti a „Cyber Essentials” tanúsítványt is.