liblzma / xz 被维护者 Jia Tan 植入后门

redbuck · 发表于 2024-4-3 08:05

最近国内 boot cdn 也有投毒，嗅探到移动端环境给你页面塞广告，恶意代码特意转义了，变量都更名成 0x，关键 api 也改成索引取值，总之让你人工很难识别。

但是好玩的来了，把恶意代码喂给 chat GPT，它可以识别出代码的意图，甚至可以让他还原成可读的版本。

所以后面应该可以结合 ai，提交前做一次 ai 预检，提高一下投毒门槛

redbuck · 发表于 2024-4-3 08:33

perfaceNext 发表于 2024-4-3 08:24
然后让ai改写一个让ai检测不出来的版本，搁这里套娃了

不懂能不能别搁这硬凑啊

这个案例里，最大的问题就是 maintainer 没在网，没人 review 才塞进去的。
搞攻击总要调到敏感 api，这些结合上下文是能推导的，而且恰恰是 ai 的强项，人类读起来费劲的它读没有障碍

		自动登录	找回密码
密码			立即注册

[科技] liblzma / xz 被维护者 Jia Tan 植入后门