Culisele breșei din limbajul de programare PHP: Cum a ajuns o vulnerabilitate descoperită cu AI să declanșeze o alertă globală

O vulnerabilitate descoperită cu ajutorul inteligenței artificiale într-un limbaj de programare folosit de aproximativ 70% dintre site-urile web a declanșat o cursă contracronometru de 72 de ore între agențiile de securitate cibernetică din întreaga lume.

Descoperirea făcută de AI a declanșat o alertă globală Foto: Shutterstock

Decizia unei companii de securitate cibernetică de a publica miercuri, înainte de termenul stabilit, informații despre o vulnerabilitate din limbajul de programare PHP, utilizat pe scară largă, a lăsat o mare parte a internetului expusă hackerilor. Incidentul a declanșat o stare de alertă generalizată și a transformat în realitate avertismentele formulate de luni de zile cu privire la pagubele pe care inteligența artificială le-ar putea provoca în domeniul securității cibernetice.

Vulnerabilitățile din PHP au fost descoperite cu ajutorul unor instrumente de inteligență artificială, în urma unui proces desfășurat pe parcursul mai multor luni și coordonat de OpenAI. Descoperirea a determinat agenții de securitate cibernetică din Europa, Statele Unite, Regatul Unit, Australia și Canada să emită avertismente urgente miercuri. Mai multe guverne au decis, ca măsură de precauție, să scoată temporar din funcțiune site-uri web.

Deși, în primele ore după incident, nu existau indicii privind pagube majore provocate de atacuri informatice, evenimentele desfășurate pe parcursul celor 72 de ore au arătat cât de ușor pot fi perturbate procedurile de securitate cibernetică și cât de mari pot fi consecințele într-o epocă în care inteligența artificială amplifică riscurile.

Dan Lorenc, directorul general al companiei Chainguard, cel care a declanșat reacția în lanț prin publicarea prematură a informațiilor, și-a cerut rapid scuze într-o postare pe LinkedIn.

Totuși, într-un interviu acordat joi publicației POLITICO, Lorenc a susținut că a făcut publice informațiile înainte de termen deoarece vulnerabilitatea era deja exploatată. Deși această afirmație a fost contestată de alte persoane, directorul Chainguard a spus că a considerat că dispune de suficiente dovezi pentru a justifica încălcarea embargoului stabilit în vederea acordării unui interval de timp necesar identificării și aplicării unei soluții.

Lorenc a contestat ideea că acțiunile sale ar fi creat probleme altor echipe implicate în apărarea sistemelor informatice, dar a recunoscut că pragul probatoriu necesar pentru a justifica o asemenea decizie în cadrul mecanismelor de apărare cibernetică coordonată reprezintă o „zonă gri”.

Riscurile inteligenței artificiale devin tot mai evidente

Dezvăluirea vulnerabilității PHP scoate la iveală o problemă pentru care oficialii din domeniul securității cibernetice se pregătesc încă de la apariția celor mai avansate instrumente de inteligență artificială. Acestea pot fi folosite atât pentru identificarea vulnerabilităților, cât și pentru exploatarea lor la scară largă.

Protocoalele de securitate cibernetică utilizate de mult timp au contribuit la evitarea unor scenarii dezastruoase, în care hackerii ar fi putut exploata vulnerabilitățile pentru a prelua controlul asupra numeroaselor site-uri și pentru a accesa datele acestora.

Cu toate acestea, amploarea riscurilor asociate inteligenței artificiale și potențialul lor de a provoca perturbări majore sunt acum vizibile la nivel mondial.

„Asta se întâmplă atunci când inteligența artificială descoperă o vulnerabilitate care s-a ascuns ani întregi”, a declarat Eylam Milner, cofondator și director de tehnologie al start-upului de securitate cibernetică Echo.

Vulnerabilitățile respective sunt „printre cele mai grave care pot afecta internetul”, a adăugat acesta.

Cum a început criza de securitate cibernetică

Înțelegerea modului în care s-a desfășurat această situație de urgență oferă o imagine asupra eforturilor depuse de companii și autorități pentru a preveni atacurile, dar și asupra riscurilor cu care acestea se vor confrunta în perioada următoare.

Originile incidentului pot fi urmărite până în aprilie, când Anthropic, una dintre principalele companii care dezvoltă modele avansate de inteligență artificială, a prezentat Mythos. Anunțul a provocat îngrijorări în rândul specialiștilor în securitate cibernetică, unii temându-se că sistemele informatice ar putea fi rapid copleșite de inteligența artificială avansată, cu posibile consecințe catastrofale.

În lunile care au urmat, cercetătorii au descoperit într-adevăr mai multe vulnerabilități în sistemele informatice, după ce Anthropic și alte companii de inteligență artificială, inclusiv OpenAI, au lansat asemenea modele. Totuși, aceste descoperiri au avut un impact limitat în lumea reală.

Inclusiv incidentul de securitate asociat platformei Hugging Face, intens discutat la momentul respectiv, a avut în centru agenți autonomi de inteligență artificială ai OpenAI care au funcționat în afara comportamentului așteptat în timpul unei evaluări interne de securitate. Cazul a ridicat mai ales întrebări despre nivelul de control pe care companiile îl au asupra propriilor modele, nu atât despre capacitatea acestora de a pătrunde în sisteme informatice din întreaga lume.

Situația s-a schimbat în această săptămână, când cercetătorii au dezvăluit vulnerabilitatea din PHP, un limbaj de programare estimat a fi integrat în aproximativ 70% dintre site-urile web.

Publicarea coordonată a vulnerabilităților, un mecanism esențial

Procedura prin care informațiile despre vulnerabilități sunt comunicate autorităților din domeniul securității cibernetice și companiilor implicate este esențială pentru prevenirea atacurilor.

În cadrul unei practici consacrate, cunoscute drept dezvăluire coordonată, cercetătorii și companiile care identifică o vulnerabilitate pot colabora pentru găsirea unei soluții și pot transmite informațiile în mod confidențial agențiilor și altor organizații relevante înainte de publicarea lor.

Astfel, administratorii sistemelor au timp să remedieze problemele înainte ca informațiile să ajungă la dispoziția tuturor, inclusiv a atacatorilor informatici, care ar putea exploata breșa înainte de existența unei soluții.

În cazul vulnerabilității PHP, mecanismul a funcționat, dar nu fără probleme. Informațiile despre erorile de securitate au început să circule înainte de momentul stabilit pentru publicarea lor.

Potrivit Fundației PHP, Chainguard a „încălcat unilateral embargoul”, ignorând astfel „săptămâni de muncă depusă de numeroase părți pentru o dezvăluire coordonată”.

Elizabeth Barron, director executiv al Fundației PHP, a declarat pentru POLITICO, într-un răspuns transmis prin e-mail, că organizația este „dezamăgită” de acțiunile Chainguard. Totodată, aceasta și-a exprimat speranța că relația de încredere va putea fi reconstruită în viitor, pentru ca cele două părți să poată continua să colaboreze eficient.

După scurgerea informațiilor, care a făcut ca detaliile despre vulnerabilități să devină publice înainte ca remedierea să fie pregătită, confuzia s-a instalat rapid. Autoritățile și companiile private au ales să își închidă temporar site-urile, preferând această măsură în locul riscului unor atacuri care le-ar fi putut compromite datele și funcționarea platformelor.

Milioane de tentative de exploatare a vulnerabilității

Joi dimineață, Matthew Prince, directorul general al Cloudflare, companie de servicii de internet utilizată pe scară largă pentru protejarea site-urilor împotriva atacurilor informatice, a declarat într-o postare pe platforma X că organizația a observat „milioane” de tentative de exploatare a vulnerabilității.

Cloudflare are o vizibilitate ridicată asupra activităților atacatorilor datorită serviciilor prin care protejează site-urile web.

Potrivit lui Prince, compania a identificat mii de tentative în cele zece ore dinaintea anunțului public privind vulnerabilitatea. În următoarele 45 de minute, numărul acestora a ajuns la zeci de mii, iar în decurs de două ore a crescut la sute de mii. Ulterior, tentativele au ajuns la ordinul milioanelor.

Divizia de servicii cloud a Amazon a transmis, de asemenea, că vulnerabilitatea este „exploatată pe scară largă în mediul real”.

Un oficial de rang înalt din domeniul securității cibernetice al guvernului SUA a declarat că autoritățile federale au fost copleșite de volumul problemelor, iar vulnerabilitatea PHP nu a fost singura provocare cu care s-au confruntat.

În aceeași zi în care specialiștii din întreaga lume încercau să remedieze problema PHP, aceștia gestionau și vulnerabilități asociate Node.js, un mediu de execuție utilizat pe scară largă pentru JavaScript, precum și unor produse și servicii de la Fortinet, GitHub și Oracle.

„Departamentul de pompieri se luptă cu mai multe incendii simultan”, a explicat oficialul american.

Acesta a adăugat că partea bună este că toate incendiile sunt limitate la clădiri cu un singur etaj, un tip de intervenție cu care pompierii se confruntă în fiecare zi.

OpenAI avertizează că urmează noi descoperiri

OpenAI a avertizat că vulnerabilitățile identificate până acum ar putea fi doar începutul unui val mai amplu de probleme de securitate.

„Aceste vulnerabilități se numără printre mai multe probleme semnificative pe care le-am identificat deja și la care lucrăm pentru a le remedia. Ne așteptăm ca descoperirile similare să crească puternic în următoarele luni”, a transmis compania miercuri, într-un comunicat.

Matthijs van Amelsfort, directorul agenției olandeze pentru securitate cibernetică, a declarat într-un interviu că progresele inteligenței artificiale au transformat fundamental activitatea de protejare a sistemelor informatice.

„De îndată ce au apărut modelele de vârf, exact asta am spus: aceasta va fi tendința”, a afirmat el. „Și, de fapt, asta se întâmplă acum.”

Thomas Caspers, vicepreședinte al agenției germane pentru securitate cibernetică BSI, a împărtășit această perspectivă.

„Ne așteptăm ca acest lucru să se întâmple din ce în ce mai des în următoarele luni”, a declarat el.

Inteligența artificială amplifică riscurile și după ce vulnerabilitățile devin publice. Recomandarea agențiilor de securitate cibernetică de a scoate temporar site-urile din funcțiune a reprezentat „o măsură cu adevărat drastică”, a spus Caspers.

„Nu am fi făcut asta acum câțiva ani”, a adăugat oficialul german, explicând că viteza și ușurința cu care inteligența artificială permite exploatarea vulnerabilităților au făcut necesară această decizie.

Inteligența artificială poate contribui și la apărare

În același timp, utilizarea inteligenței artificiale avansate pentru identificarea vulnerabilităților ar putea oferi un nou nivel de protecție împotriva hackerilor care încearcă să le exploateze.

Caspers a declarat că agenția germană a observat, la rândul său, atacuri informatice, însă nu a identificat cazuri în care hackerii să fi exploatat cu succes vulnerabilitatea PHP.

„Se pare că exploatarea este puțin mai complicată decât ne așteptam”, a explicat el.

Chiar dacă inteligența artificială oferă noi posibilități pentru identificarea problemelor de securitate, măsurile necesare pentru protejarea sistemelor rămân, în esență, aceleași. Agențiile de securitate cibernetică le recomandă organizațiilor să instaleze soluția pusă la dispoziție de Fundația PHP, într-un proces cunoscut sub numele de aplicare a patch-urilor.

„Există trei lucruri pe care trebuie să le faceți chiar acum”, a declarat van Amelsfort, reprezentantul agenției olandeze. „Și acestea sunt: aplicați patch-uri, aplicați patch-uri și aplicați patch-uri.”