یه VM ساده دیگه جلوی ایجنتهای سایبری رو نمیگیره
هوش مصنوعیخلاصهٔ کاملتر
تو آزمایشی که Trail of Bits در قالب برنامهٔ Patch the Planet انجام داده، به مدل GPT 5.6-Cyber دسترسی پیشنمایش دادن و یه کار ساده جلوش گذاشتن: از ماشین مجازی فرار کن و فایل flag رو بخون. هدف یه VM روی QEMU/KVM بود، روی یه دسکتاپ لینوکسی با Debian 12. به گفتهٔ نویسنده، ایجنت ساعتها خودگردان کار کرد، از مسیرهای بنبست برگشت، مقاله و کد میخوند و نمونههای کوچیک خودش رو میساخت. کار خود نویسنده بیشتر ریاستارت دستی ماشین بود، هر بار که کرنل هاست قفل میکرد.
فرار اول با Januscape (CVE-2026-53359) اتفاق افتاد، یه باگ کرنل که چند هفته قبلش افشا شده بود و اکسپلویت عمومی نداشت؛ ایجنت خودش یکی نوشت. بعد از آپدیت کرنل، نوبت libslirp رسید، همون کتابخونهای که شبکه رو برای VM فراهم میکنه. دبیان ۱۲ هنوز نسخهٔ ۴.۷.۰ رو داشت که به CVE-2026-9539 آسیبپذیره، و ایجنت اونو با یه کامیت رفعباگ بدون CVE ترکیب کرد تا روی هاست خوندن و نوشتن دلخواه حافظه به دست بیاره.
مرحلهٔ سوم از همه جالبتره: نویسنده QEMU و libslirp رو از سورس بالادست دوباره ساخت، ولی ایجنت حدود ۱۲ ساعت روی هدف موند و چند باگ صفرروز پیدا کرد و به هم زنجیر کرد. یه آلیاس ROM بررسینشده در VAPIC که با SMRAM قفلشده همپوشانی داشت، یه shadow page همگامنشده در KVM، و یه باگ در paging64_invlpg که نقش سطح دو رو کهنه نگه میداشت. کنارش یه ایراد در libslirp هزاران آبجکت NetPacket زنده تولید میکرد تا آدرس یه callback پیدا و ربوده بشه.
چیزی که نویسنده روش تأکید داره، دوام ایجنت روی افق زمانی بلنده: کار در طول چندین بار فشردهسازی کانتکست و کلی سابایجنت ادامه پیدا کرد. تو مسیر، یه سرویس CUPS آسیبپذیر روی هاست پیدا کرد که AppArmor جلوی بهرهبرداری کاملش رو گرفت، و چون هاست با mitigations=off بالا اومده بود سراغ باگهای سختافزاری هم رفت، ولی اون مسیر به اندازهٔ کافی قابلاتکا نبود.
جمعبندی نویسنده صریحه: یه VM حاضر و آماده دیگه برای مهار ایجنتهای سایبری کافی نیست و بهتره باهاشون مثل یه تهدید پیشرفتهٔ مداوم (APT) رفتار کرد. توزیعهای کند مثل oldstable رو هم باید آسیبپذیر فرض کرد، چون بکپورت وصلهها دیر میرسه. پیشنهادش رفتن سراغ مجازیسازی با سطح حملهٔ کمه، مثل Firecracker؛ اونجا ایجنت فقط تونست ماشین رو قفل کنه، نه فرار.
نکات کلیدی:
- سه فرار موفق از یه VM روی QEMU/KVM با هاست Debian 12
- دبیان ۱۲ هنوز libslirp 4.7.0 آسیبپذیر به CVE-2026-9539 رو داشت
- زنجیرهٔ نهایی از سه باگ صفرروز بهعلاوهٔ یه وصلهٔ نرسیده به کرنل توزیع ساخته شد
- ایجنت حدود ۱۲ ساعت و در طول چند بار فشردهسازی کانتکست روی هدف موند
- Firecracker مقاومت کرد: قفل شدن ماشین بله، فرار نه
