یک عامل هوش مصنوعی ۲۱ آسیبپذیری روز-صفر در FFmpeg با هزینه ۱۰۰۰ دلار یافت — قدیمیترین باگ از سال ۲۰۰۳ پنهان بود
FFmpeg کتابخانهای است که ویدیو را تقریباً در تمام زمینههای مهم پردازش میکند: مرورگرها، پلتفرمهای استریم، ویرایشگرهای ویدیو، نرمافزارهای کنفرانس، برنامههای موبایل. همچنین، تا این هفته تأیید شده است که حداقل ۲۱ آسیبپذیری امنیتی ناشناخته قبلی در آن وجود دارد که همگی توسط یک عامل هوش مصنوعی خودمختار متعلق به استارتآپ امنیتی depthfirst کشف شدهاند. هزینه محاسباتی یافتن آنها تقریباً ۱۰۰۰ دلار بوده است.
depthfirst یافتههای خود را در ۶ ژوئن منتشر کرد، از جمله یک مخزن GitHub شامل ورودیهای proof-of-concept برای تمام ۲۱ باگ. تاکنون نه مورد دارای شناسه CVE شدهاند، از CVE-2026-39210 تا CVE-2026-39218. بقیه در بالادست وصله شدهاند اما هنوز شمارهگذاری نشدهاند. تمام آنها در انتشار فعلی FFmpeg رفع شدهاند.
باگها چه هستند و کجا پنهان شدهاند
بیشتر ۲۱ آسیبپذیری، سرریزهای هیپ یا پشته هستند که در تجزیهگرها و دمالتیپلکسرهای FFmpeg متمرکز شدهاند — اجزایی که مسئول خواندن و تفسیر ساختار فایلهای رسانه پیش از شروع رمزگشایی هستند. اجزای تحت تأثیر شامل دمالتیپلکسر TS (که جریانهای حمل و نقل MPEG مورد استفاده در تلویزیون پخش و استریم را مدیریت میکند) و رمزگشای VP9 (کدک ویدیویی گوگل که به طور گسترده در وب استفاده میشود) هستند. depthfirst برخی از آنها را از طریق فایلهای رسانه دستکاریشده قابل دسترس توصیف میکند، به این معنی که یک مهاجم میتواند با واداشتن هدف به باز کردن یک ویدیوی مخرب، آنها را فعال کند.
قدمت باگها چیزی است که این یافته را قابل توجه میکند. چندین باگ به مدت ۱۵ تا ۲۰ سال نهفته بودند. قدیمیترین آنها، یک سرریز پشته در تجزیهگر جدول توصیف سرویس، به سال ۲۰۰۳ بازمیگردد و به مدت ۲۳ سال در پایگاه کد دستنخورده باقی مانده بود. اینها مسیرهای حاشیهای مبهم نیستند — آنها در اجزایی هستند که فرمتهای فعال در سراسر صنعت را پردازش میکنند.
اقتصاد تحقیق آسیبپذیری مبتنی بر هوش مصنوعی
رقم ۱۰۰۰ دلار مهم است زیرا نشاندهنده هزینه محاسباتی یک اجرای تحقیقاتی خودمختار است، نه هزینه کل یک تیم امنیتی که ماهها به بررسی دستی کد مشغول است. برای مقایسه، یک محقق امنیتی ماهر سالانه صدها هزار دلار هزینه حقوق دارد، و بررسیهای دستی برای پایگاه کدی به اندازه FFmpeg معمولاً شش رقم هزینه دارند. depthfirst در این زمینه تنها نیست: عامل Big Sleep گوگل قبلاً آسیبپذیریهایی در FFmpeg گزارش کرده بود، و مدل Mythos آنتروپیک یک نقص ۱۶ ساله H.264 و سایر باگها را در FFmpeg با هزینههای مشابه یافت.
نتیجه این نیست که هوش مصنوعی جایگزین محققان امنیتی میشود — یافتهها همچنان به اولویتبندی انسانی، تخصیص CVE، افشای هماهنگ و اعتبارسنجی وصله نیاز دارند. اما اقتصاد مرحله کشف به طور چشمگیری در حال تغییر است. یک اجرای محاسباتی ۱۰۰۰ دلاری که ۲۱ zero-day تأیید شده با PoCهای قابل تکرار را آشکار میکند، از نظر هزینهای مرتبهای کارآمدتر از تلاش انسانی معادل است.
همان هفته: Chrome ۴۲۹ باگ را وصله کرد
افشای FFmpeg در همان هفتهای منتشر شد که گوگل Chrome 149 را با وصلههایی برای ۴۲۹ آسیبپذیری امنیتی عرضه کرد، بیشترین تعداد در یک انتشار Chrome. بیش از ۱۰۰ مورد بحرانی یا با شدت بالا ارزیابی شدهاند. بدترین آنها، CVE-2026-10881 (CVSS 9.6)، یک خواندن/نوشتن خارج از محدوده در موتور گرافیکی ANGLE است که به یک صفحه وب دستکاریشده اجازه میدهد از sandbox Chrome فرار کرده و کد دلخواه را روی سیستم میزبان اجرا کند. گوگل ۹۷۰۰۰ دلار به محققی که آن را گزارش کرده بود پرداخت کرد.
انتشار Chrome مستقیماً به باگهای کشفشده توسط هوش مصنوعی مرتبط نیست — گوگل حجم بیسابقه را به عاملهای هوش مصنوعی نسبت نداده است. ارتباط غیرمستقیمتر است: گوگل در آوریل برنامه پاداش باگ خود را دقیقاً به این دلیل بازبینی کرد که گزارشهای تولید شده توسط هوش مصنوعی صف ارسال را پر کرده بودند و به دستورالعملهای جدیدی نیاز داشت که تولیدکنندههای مختصر را بر گزارشهای طولانی که ابزارهای هوش مصنوعی تمایل به تولید دارند اولویت دهد. فشار حجم واقعی است، چه هوش مصنوعی در حال یافتن باگها باشد یا سر و صدا در خط لوله گزارشدهی ایجاد کند.
این برای مدافعان چه معنایی دارد
اولویت عملی برای تیمهای امنیتی و DevOps ساده است: اگر هنوز این کار را نکردهاید، FFmpeg را به آخرین انتشار بهروزرسانی کنید و CVE-2026-39210 تا CVE-2026-39218 را برای موجودی داخلی داراییها پیگیری کنید. اگر سازمان شما از FFmpeg در خطوط لوله پردازش رسانه استفاده میکند — به ویژه برای محتوای ارائهشده توسط کاربر — اجزای دمالتیپلکسر TS و رمزگشای VP9 نیاز به توجه خاص دارند تا زمانی که تمام ۲۱ CVE شمارهگذاری و در نسخه شما تأییداً وصله شوند.
پیامد گستردهتر عمل کردن بر روی آن سختتر است: عاملهای هوش مصنوعی اکنون در کتابخانههای متنباز اصلی سریعتر از آن که اکوسیستم بتواند آنها را شمارهگذاری و منتشر کند، باگ پیدا میکنند. شکاف بین زمانی که یک آسیبپذیری وجود دارد، زمانی که یافت میشود و زمانی که وصله میشود، از سمت کشف در حال فشرده شدن است. زیرساخت وصلهدهی همگام نبوده است.
Originally reported by The Hacker News. Read the original article for additional details.
View original source