Project Zero รายงานถึงแนวทางการทดสอบประสิทธิภาพ AI ในกลุ่ม LLM ว่าสามารถนำมาใช้ทดสอบความปลอดภัยซอฟต์แวร์ได้ดีเพียงใด โดยวางเฟรมเวิร์คให้ LLM เข้าถึงเครื่องมือที่จำเป็นสำหรับการเจาะระบบจริงๆ ได้แก่

Project Zero ทีมวิจัยความปลอดภัยไซเบอร์ของกูเกิลรายงานถึงการใช้ช่องโหว่ 0-days หรือช่องโหว่ที่มีการโจมตีก่อนมีแพตช์แก้ไขเพิ่มขึ้นอย่างมาก โดยรายงานจำนวนมากมาจากผู้ผลิตเองที่ยอมรับว่ามีการโจมตีด้วยช่องโหว่ที่ยังไม่ได้แพตช์

Project Zero รายงานถึงช่องโหว่ของฟีเจอร์ GitHub Action ที่มีฟีเจอร์ Workflow เปิดให้ runner รับคำสั่งเพิ่มเติมจากเอาท์พุตของโปรแกรมใดๆ ใน Action เปิดทางให้แฮกเกอร์ใส่เอาท์พุตมุ่งร้ายได้

แม้ว่า Workflow จะรับคำสั่งได้จำกัด แต่มีสองคำสั่งได้แก่ add-path และ set-env ที่สามารถแก้ไขค่าตัวแปร environment ได้ ทำให้คนร้ายแก้ไขค่าตัวแปรเพื่อโจมตีสคริปต์ใน Action ได้

Project Zero ของกูเกิลเปิดเผยรายละเอียดช่องโหว่ CVE-2020-17087 ที่เปิดทางให้แฮกเกอร์ให้สามารถระดับสิทธิ์ของตัวเองหรือเจาะทะลุ sandbox ในระบบ โดยรายงานของ Project Zero เปิดเผยทั้งรายละเอียดและตัวอย่างโค้ดทดสอบช่องโหว่ ซึ่งโดยปกติแล้วการเปิดเผยรายละเอียดเช่นนี้จะเปิดเผยหลังผู้ผลิตปล่อยแพตช์แก้ไขช่องโหว่ออกมาแล้วระยะหนึ่ง

กรณีนี้กูเกิลระบุว่าตรวจพบการโจมตีอย่างเจาะจง โดยไม่เปิดเผยว่าเป็นการโจมตีหน่วยงานใด แต่บอกเพียงว่าไม่เกี่ยวข้องกับการเลือกตั้งสหรัฐฯ

Jann Horn นักวิจัยจาก Project Zero ของกูเกิลเขียนรายงานวิเคราะห์ช่องโหว่ของโทรศัพท์ Samsung Galaxy A50 และรุ่นย่อย A50FN ที่มีโค้ดเสริมความปลอดภัยเพิ่มเติม แต่กลับสร้างช่องโหว่ใหม่ในตัวเอง พร้อมกับวิจารณ์ผู้ผลิตโทรศัพท์โดยรวมว่าชอบแก้ไขเคอร์เนลเพิ่มเติมจนเป็นแหล่งช่องโหว่ของแอนดรอยด์

ในกรณีของซัมซุง โทรศัพท์ Galaxy A50 มีโมดูลย่อยชื่อ PROCA (Process Authenticator) ที่พยายามติดตามโปรเซสในระบบ แต่โค้ดกลับมาบั๊กเปิดทางให้โค้ดมุ่งร้ายยกระดับสิทธิ์การรันโค้ด

Project Zero โครงการรายงานช่องโหว่สาธารณะของกูเกิลเปลี่ยนนโยบายการเปิดเผยช่องโหว่หลังรายงาน 90 จากเดิมหากซอฟต์แวร์ออกแพตช์เร็วกว่า 90 วันก็จะเปิดเผยช่องโหว่หลังจากออกแพตช์ มาเป็นการเปิดเผยหลังรายงาน 90 วันเสมอ แม้ผู้ผลิตจะออกแพตช์เร็วกว่ากำหนด

นโยบายใหม่ยังเปลี่ยนรายละเอียดเพิ่มเติม อีก 3 ประเด็น ได้แก่

Project Zero รายงานย้อนหลังถึงการพบการโจมตี iOS ก่อนที่จะมีแพตช์ หรือช่องโหว่ 0-day ย้อนหลัง 5 รายการ นับแต่ปี 2016 ในสมัย iOS 10 มาจนถึง iOS 12 เมื่อต้นปีที่ผ่านมา

ตัวอย่างการวิเคราะห์ช่องโหว่ล่าสุดเมื่อต้นปีที่ผ่านมา แสดงให้เห็นว่ามีฟีเจอร์ในเคอร์เนลที่ยังอิมพลีเมนต์ไม่เสร็จ แต่โค้ดถูกรวมไปกับ iOS แล้ว และเข้าถึงจากตัว sandbox ของแอปพลิเคชั่นได้ การอิมพลีเมนต์ครึ่งๆ กลางๆ กลายเป็นช่องทางให้โค้ดมุ่งร้ายเจาะออกจาก sandbox ได้ในที่สุด