MOAK: мать всех KEV

Всем привет!

Mean-time-to-Exploit изменялось от года году. Если раньше для генерации PoC на какую-либо CVE и её успешную эксплуатацию могли потребоваться месяцы, то сегодня время сократилось радикально.

Теперь для этого требуются часы, в скором времени, возможно, минуты. Да, речь об использовании LLM для проверки того, что уязвимость эксплуатируема.

Для наглядной демонстрации этой гипотезы был создан MOAK.

Он представляет из себя агентский workflow, который успешно эксплуатирует 98% CVE, которые есть в базе Known Exploited Vulnerabilities (KEV).

Без участия человека. Вообще.

Состоит он из следующих агентов:
🍭 Collector. От человека требуется лишь указать номер CVE, а дальше Collector соберёт нужную информацию
🍭 Researcher. Изучает CVE на основании данных, полученных от Collector. Анализирует патчи, идентифицирует уязвимые функции и т.д.
🍭 Environment Builder. Его задача – создание окружения, которое будет подходить под «условия» эксплуатации, определенные его «коллегами»
🍭 Exploiter. «Разработчик» необходимого для эксплуатации ПО и последующая эксплуатация с подтверждением
🍭 Judge. Проверяет, что все остальные агенты «качественно» провели свою работу

С «примерами» работы MOAK можно ознакомиться в разделе «CVE Dashboard» на сайте.

Там указаны примерные действия, которые делали агенты, успешность эксплуатации и, что самое интересное – время, которое потребовалось для того, чтобы всё это реализовать.

И ещё там есть много интересных статей по теме, на которые стоит обратить внимание.