Kritické zraniteľnosti v PHP odhalili pomocou umelej inteligencie
Výskumníci objavili spôsob, ako zneužiť dve bezpečnostné zraniteľnosti v PHP, programovacom jazyku používanom pri tvorbe webových stránok a aplikácií. Firmy vyzvali, aby si nainštalovali bezpečnostnú záplatu. Spojené štáty oznámili, že preverujú vládne systémy a urýchľujú zavádzanie ochranných opatrení.
Za dojmom, že sa vlastne nič nestalo, sa skrýva mimoriadne úsilie ľudí, ktorí dokázali odvrátiť katastrofu. Ide o doteraz najvýznamnejšie víťazstvo obrancov v novej ére kybernetickej bezpečnosti a umelej inteligencie.
Zraniteľnosti PHP2Shell existovali viac ako desať rokov
Zraniteľnosti s názvom PHP2Shell mohli podľa spoločnosti Wiz, poskytovateľa kybernetickej bezpečnosti patriaceho Googlu, zasiahnuť približne 70 percent všetkých webových stránok na svete. Chyby existovali viac ako desať rokov a umožňovali útočníkom spúšťať programový kód na diaľku. Podľa Wiz patria medzi najzávažnejšie bezpečnostné zraniteľnosti, aké boli kedy objavené v PHP.
Preventívne opatrenia sa prijímali po celom svete. Webové stránky viacerých európskych vlád a samospráv boli dočasne nedostupné. V Spojenom kráľovstve BBC odstavila časť svojho webu pre údržbu. Japonská premiérka Sanae Takaičiová vyzvala firmy, aby záplatu nainštalovali čo najskôr.
Išlo o súhru modelov a ľudských odborníkov
Zraniteľnosti objavili v auguste s pomocou najpokročilejších modelov umelej inteligencie. Spoločnosť Wiz ich odhalila v auguste, nezávisle od nej aj ďalšia kyberbezpečnostná spoločnosť Calif, ktorá spolupracovala s OpenAI v iniciatíve Patch the Planet. Tá vznikla v reakcii na obavy, že umelá inteligencia môže posilniť schopnosti kybernetických zločincov a nepriateľských štátov.
Nešlo len o požiadavku, aby model našiel chybu. Podľa Wiz išlo o mimoriadne zložitý sled krokov na hranici toho, čo by ľudskí výskumníci dokázali v praxi zvládnuť. Jediný člen výskumného tímu zvládol za týždeň prácu, ktorá by špičkovému svetovému tímu zabrala celé mesiace.
Po odhalení chýb začal tím spravujúci PHP pripravovať opravu. Informované boli aj spoločnosti prevádzkujúce internetovú infraštruktúru, napríklad Amazon Web Services a Cloudflare. Záplata vyšla o deň skôr, než sa plánovalo, pretože niektoré podrobnosti unikli na verejnosť. OpenAI zároveň sprístupnila pre platformu Codex nástroj, ktorý firmám pomáha zistiť potrebné aktualizácie.
Hackeri už zraniteľnosti vyhľadávajú
Keďže informácie sú verejné, slabé miesta vyhľadávajú aj hackeri a niektorí ich už zneužívajú. Technologický riaditeľ Cloudflare Dane Knecht uviedol, že spoločnosť ešte pred vydaním záplaty zaznamenala prvé objavujúce sa útoky na svojich zákazníkov, a preto im poskytovala dočasné ochranné opatrenia.
Prípad zdôrazňuje rastúci význam špecializovaných kyberbezpečnostných spoločností v ére umelej inteligencie. Vo februári sa akcie firiem ako Cloudflare a CrowdStrike prudko prepadli pre obavy, že laboratórium Anthropic ich pripraví o zákazníkov. Po zverejnení správy akcie Cloudflare vzrástli približne o sedem percent a od februárového otrasu si pripísali 76 percent, akcie CrowdStrike sa za rovnaké obdobie posilnili o 146 percent.
Hlavné ponaučenie spočíva v tom, že spolupráca bezpečnostných výskumníkov s laboratóriami vyvíjajúcimi najpokročilejšie modely umelej inteligencie poskytla svetu časový náskok pred vážnou hrozbou. Takáto spolupráca musí pokračovať a ďalej sa rozširovať. Zodpovednosť za prijatie opatrení zostáva na bezpečnostných tímoch, ktoré tentoraz môžu konať s úplnými informáciami a s pripravenou bezpečnostnou záplatou.
