HW招募
2024HW招募，初中高级+项目经理，加V：Hacker-ED；（初级限额）
一举查获作案设备2400余台！青岛警方重拳出击斩断电信网络诈骗链条；
近日，在公安部打击整治网络谣言专项行动中，青岛市公安局及黄岛公安分局两级网安部门，坚持全链条、全要素打击，经过10个月的侦办，破获“10·13”特大非法利用信息网络案，抓获涉案人员110余名，捣毁吸粉引流工作室10余个，扣押作案设备2400余台，全方位打击了为境外诈骗集团吸粉引流的“黑灰产”犯罪链条，有力维护了人民群众的合法权益，为打击治理电信网络诈骗犯罪贡献了网安力量。
明里“交友”暗里行骗
2022年10月，青岛警方网安部门工作发现，本市某区有人操作QQ账号为境外诈骗团伙提供吸粉引流服务，已造成多人被骗，遂会同该区警方成立专案组开展案件调查工作。初步侦查发现，犯罪嫌疑人李某钢、杨某文等人在该区租赁房屋作为工作室，购买大批QQ号码，使用自行研发的软件程序，以提供“裸聊”为诱饵，吸引受害人添加诈骗团伙提供的QQ账号为好友，导致受害人被电信诈骗，遭受巨额财产损失。
经对诈骗过程全面复盘，发现受骗人添加陌生人QQ好友后，收到对方发来的暧昧、隐晦内容的交友信息，并在对方的引导下下载交友软件，在使用交友软件与对方联系的过程中，根据对方要求进行刷单返利业务，一开始金额比较小，会收到小额返利，随着刷单量越刷越多，对方逐渐以各种理由不再返利，受害人这才意识到被骗。
110余嫌犯大搞“黑灰产”
随着调查的逐步深入，侦查员发现，所谓的“工作室”并非“孤立无援”，在其身后，可能隐藏着一个庞大的“黑灰产”犯罪链条。鉴于案情重大，市、区两级网安部门组织二十余名业务骨干，全力进行线索挖掘和分析研判工作，最终打开突破口，成功获取到最关键的信息，顺线展开深挖，逐步清理了整个吸粉引流黑产团伙的人员身份信息、组织架构、作案手法和作案流程，且查明该吸粉引流犯罪与境外诈骗团伙直接关联。至此，涉及黄某武、李某钢、杨某文、马某财等110余名嫌疑人的“黑灰产”犯罪产业链条浮出水面。
整个犯罪利益链条包括境外电信诈骗集团、引流工作室、软件程序开发人员等九个环节，分布全国多省份多地，人员众多、分布广泛。在整个“黑灰产”犯罪链条里面，每个环节均发挥着不可替代的作用，纵向，他们相互依附、密切配合，完成吸粉引流所需的QQ账号等物料的传递、非法牟利后的分赃等；横向，他们相互交流、互通有无，共享作案手法，共商逃避公安机关打击计谋，形成了相对稳固的利益“关系网”，正是这张“关系网”，实现了物色、诱导受害人，直至实施诈骗的全过程，每日可对上万人实施诈骗犯罪。
300余警力，9次集中抓捕
110余名涉案人员分布全国各地，且各涉案团伙之间联系密切、交往频繁，集中收网遇到巨大难题和挑战。对此，警方制订了周密、详实的抓捕方案，截至2024年3月，出动300余名警力，先后组织9次集中抓捕行动。参战民警奔袭大半个中国，最终将110余名涉案人员悉数抓获。
完成收网任务后，持续扩大战果。各地警方密切配合、捆绑作战，全国范围内共抓获吸粉引流涉案人员3800余人，打掉非法网站9个、捣毁吸粉引流工作室500余个，查扣涉案手机电脑8300余台。
GPT-4 化身黑客搞破坏，成功率 87%！OpenAI 要求保密提示词。
研究人员表示，OpenAI 已要求他们不要向公众发布该研究的提示词。
网友们立马赶来围观了，有人还搞起了复现。
这是怎么一回事？
只有 GPT-4 能做到
这项研究核心表明，GPT-4 能够利用真实的单日漏洞（One-day vulnerabilities）。
他们收集了一个漏洞数据集（包含被 CVE 描述为严重级别的漏洞），然后设计了一个黑客智能体架构，让大模型模拟攻击。
这个黑客智能体架构使用了 LangChain 的 ReAct 智能体框架。系统结构如下图所示：
进行漏洞攻击时，大概流程是：
人发出“使用 ACIDRain（一种恶意软件）攻击这个网站”的请求，然后 GPT-4 接收请求，并使用一系列工具和 CVE 漏洞数据库信息进行处理，接下来系统根据历史记录产生反应，最终成功进行双花攻击（double-spend attack）。
而且智能体在执行双花攻击时还考虑了并发攻击的情况和相应的响应策略。
在这个过程中，可用的工具有：网页浏览（包括获取 HTML、点击元素等）、访问终端、
网页搜索结果、创建和编辑文件、代码解释器。
此外，研究人员表示提示词总共包含 1056 个 token，设计得很详细，鼓励智能体展现创造力，不轻易放弃，尝试使用不同的方法。
智能体还能进一步获取 CVE 漏洞的详细描述。出于道德考虑，研究人员并未公开具体的提示词。
算下来，构建整个智能体，研究人员总共用了 91 行代码，其中包括了调试和日志记录语句。
实验阶段，他们收集了 15 个真实世界的 One-Day 漏洞数据集，包括网站、容器管理软件和 Python 包的漏洞。其中 8 个被评为高级或关键严重漏洞，11 个漏洞已超过了所使用的 GPT-4 基础模型的知识截止日期。
主要看漏洞攻击的成功率、成本这两个指标。
其中成功率记录了 5 次尝试中的通过率和 1 次尝试中的通过率，研究人员还手动评估了智能体是否成功利用了指定的漏洞。为了计算成本，他们计算了跑分中的 token 数量，并使用了 OpenAI API 的成本。
他们总共在 ReAct 框架中测试了 10 个模型。对于 GPT-4 和 GPT-3.5，使用了 OpenAI API；其余模型，使用 Together AI API。
最后，研究人员还评估了使用 GPT-4 智能体攻击漏洞的成本。
计算结果显示，GPT-4 智能体每次利用漏洞的平均成本为 3.52 美元，主要来自输入 token 的费用。由于输出通常是完整的 HTML 页面或终端日志，输入 token 数量远高于输出。考虑到 GPT-4 在整个数据集上 40% 的成功率，每次成功利用漏洞的平均成本约为 8.8 美元。
该研究的领导者为 Daniel Kang。
他是伊利诺伊大学香槟分校的助理教授，主要研究机器学习分析、机器学习安全和密码学。
网友：是不是夸张了？
这项研究发布后，网友们也展开了一系列讨论。
有人觉得这有点危言耸听了。
测试的 15 个漏洞中，5 个是容易被攻破的 XSS 漏洞。
有人说自己有过类似成功的经验，只需要给 GPT-4 和 Claude 一个 shell 和一个简单的提示词。
还有人建议补充测试：
当然还有人担心，这研究估计让脚本小子（对技能不纯熟黑客的黑称）乐开花了，也让公司更加重视安全问题。
考虑到 OpenAI 已经知晓了这项研究，后续或许会看到相应的安全提升？你觉得呢？
推荐站内搜索：最好用的开发软件、免费开源系统、渗透测试工具云盘下载、最新渗透测试资料、最新黑客工具下载……
还没有评论，来说两句吧...