Claude pomógł hakerowi znaleźć sposób na wystawianie biletów na niemal każdy amerykański festiwal muzyczny

Badacz bezpieczeństwa Ian Carroll wykorzystał sztuczną inteligencję Claude Opus do odkrycia krytycznej luki w systemie Front Gate Tickets, która obsługuje sprzedaż biletów na niemal wszystkie główne amerykańskie festiwale muzyczne. Dzięki pomocy AI udało mu się uzyskać pełny dostęp administratora do platformy, co teoretycznie pozwoliło na bezpłatne wystawianie biletów VIP o dowolnej wartości. Szczegóły tego odkrycia opisuje magazyn WIRED.

Kluczowe wnioski

• Carroll wykorzystał Claude Opus do znalezienia sposobu na ominięcie zabezpieczeń Front Gate Tickets, która obsługuje Lollapaloozę, South by Southwest, Austin City Limits i inne wielkie festiwale.
• Luka pozwalała na dostęp do milionów rekordów klientów oraz bezpłatne wystawianie biletów o dowolnej wartości, włącznie z 4000-dolarowymi biletami VIP.
• Front Gate Tickets, będąca własnością Live Nation Entertainment (podobnie jak Ticketmaster), załatała lukę w ciągu 24 godzin po zgłoszeniu przez badacza.
• Incident pokazuje, jak AI może być wykorzystywana do znajdowania luk bezpieczeństwa na szeroką skalę — Carroll uważa, że Claude mogło znaleźć tę lukę całkowicie samodzielnie.
• Badacz był uczestnikiem programu Anthropic Cyber Verification Program, który umożliwia autoryzowanym ekspertom używanie narzędzi AI do testów bezpieczeństwa.

Jak AI pomogło w odkryciu luki

Carroll, który prowadzi startup Seats.aero i zajmuje się niezależnymi badaniami bezpieczeństwa, natrafił na Front Gate przypadkowo podczas rozważania uczestnictwa w festiwalu Electronic Daisy Carnival w Las Vegas. Zauważył, że ta sama firma obsługuje ticketing praktycznie dla wszystkich głównych amerykańskich festiwali muzycznych poza Coachellą.

Podczas testowania domeny Front Gate szybko znalazł potencjalną lukę typu SQL injection — popularną podatność pozwalającą na wprowadzanie komend do pól tekstowych na stronie internetowej. Problem polegał na tym, że zapora aplikacji webowej blokowała jego próby wykorzystania tej luki.

To właśnie wtedy Carroll zwrócił się o pomoc do Claude Opus 4.7. AI natychmiast wygenerowało kod hakujący, który omijał zaporę. „To był pierwszy raz, kiedy naprawdę miałem podatność, której w pełni nie rozumiałem” — wyjaśnia Carroll. „Musiałem wrócić i przeczytać to, co napisał Claude, żeby zrozumieć sposób obejścia.”

Konsekwencje i reakcja firm

Po uzyskaniu dostępu administratora Carroll mógł teoretycznie wystawiać sobie bilety na dowolne wydarzenie bez ograniczeń. „Było całkiem fajnie zobaczyć bilet za 4000 dolarów i móc po prostu nacisnąć przycisk i wystawić sobie tyle, ile chciałem” — mówi badacz. Nie skorzystał jednak z tej możliwości i zgłosił lukę do Front Gate.

Firma odpowiedziała oświadczeniem dziękującym Carroll za zgłoszenie i opisującym incident jako udaną współpracę, która doprowadziła do poprawy bezpieczeństwa. Front Gate zapewnia, że nie ma dowodów na wykorzystanie luki, wpływ na bilety czy narażenie danych klientów.

Anthropic z kolei podkreśla, że program Cyber Verification Program został stworzony właśnie po to, aby udostępnić zaawansowane możliwości bezpieczeństwa obrońcom. Gdyby Carroll nie był uczestnikiem programu, jego użycie Claude do włamania zostałoby wykryte i zablokowane.

Ten przypadek pokazuje, jak sztuczna inteligencja może znacząco rozszerzyć możliwości wykrywania luk bezpieczeństwa w infrastrukturze internetowej, co ma zarówno pozytywne, jak i potencjalnie niebezpieczne implikacje dla cyberbezpieczeństwa.