في وقت مبكر من هذا الأسبوع، تم إصدار إعلان مفاجئ: نظرًا لاكتشاف ثغرة أمنية جديدة في لغة البرمجة المفتوحة المصدر PHP، يجب على مالكي المواقع إصلاح مواقعهم فورًا؛ وإذا لم يكن من الممكن التحديث فورًا، يجب إيقاف تشغيل الموقع مؤقتًا لأسباب أمنية.
في بودكاست TechCrunch Equity لهذا الأسبوع، ناقشنا كيرستن كوروسيك وشون أوكان وانا معنى هذه "PHPocalypse" وما إذا كان من المحتمل حدوث المزيد من الأحداث المشابهة في المستقبل.
يصف شين هذا بأنه "لحظة تصفيات حقيقية"، وهو ما يبرز أن "عندما تغوص إلى مستوى العظام للإنترنت"، يبدو كل شيء وكأنه "مُثبت بالغراء والأحلام". كما أشار إلى أنه مع توفر نماذج اللغة الكبيرة ووكلاء الذكاء الاصطناعي على نطاق واسع، سيصبح اكتشاف هذه الثغرات أسهل فقط. (ومع ذلك، تم اكتشاف هذه الثغرات المحددة من قبل باحثين بشريين، وليس من قبل نماذج الذكاء الاصطناعي.)
كيرستن قلقة من أننا قد ندخل "مرحلة أعمق من مشاعر الاستعداد للنهاية [...] لأنك ترى أن البنوك قد تُستغل، وبالنظر إلى قضايا البيانات والخصوصية، يبدو أن كل هذا أكبر بكثير مما يمكننا إصلاحه الآن."
هذا مقدمة مختصرة ومُحسَّنة للحوار.
Sean O’Kane: يبدو أن الإنترنت قد واجه مشاكل من نواحٍ عديدة هذا الأسبوع.
إذا كان القارئ غير مألوف تمامًا بهذا الأمر، فأعتقد أن أفضل طريقة لفهمه هي: كم مرة خلال العقد الماضي واجهنا لحظة كهذه—حيث تعطل شيء ما، أو كاد يتعطل، وشخص ما كان يُصلح مخزنًا صغيرًا في وقت فراغه، اكتشف بالصدفة أن شيئًا خبيثًا يحدث ومنع انهيار البنية التحتية للإنترنت؟
اضرب هذا السيناريو الآن في مليار: لا يقتصر الأمر على وصول الناس إلى هذه النماذج اللغوية الكبيرة المتقدمة جدًا التي يستخدمها الجميع، بل يمكنهم أيضًا تكليفهم بمهام ليقوموا بها بأنفسهم؛ بالإضافة إلى ظهور وكلاء الذكاء الاصطناعي الذين يمكنهم التركيز على إنجاز هذه المهام.
شهدنا هذا الأسبوع حدوث قوتين في آنٍ واحد. من ناحية، أرسلت مختبرات وشركات مثل Google وOpenAI فرقًا لاكتشاف مجموعة من الثغرات، بما في ذلك ثغرة PHP. ومن ناحية أخرى، يبدو أن العديد من الأشخاص يسعون جاهدين لاستغلال هذه الثغرات لمحاولة اختراق المواقع. لذا رأينا مواقع حكومية معطلة، كما رأينا بعض المواقع شديدة الشعبية تتوقف مؤقتًا لإصلاح هذه الثغرة.
هذا هو لحظة التصفية الحقيقية، وسنرى المخاطر الهبوطية المرتبطة ببناء أجزاء كبيرة من الإنترنت على تقنيات مفتوحة المصدر مثل PHP. في أعمق مستويات الإنترنت، إنه يعتمد على الغراء والأحلام.
أنتوني ها: هناك العديد من الجوانب المدهشة في هذا الأمر. أحدها هو — على الأقل حسب فهمي — أن هذا ليس ثغرة جديدة. هذه الثغرة موجودة في PHP منذ عقود.
يُستخدم PHP كلغة برمجة لبناء عدد كبير من صفحات الويب، لذا كان هذا الثغرة موجودة منذ عقود، لكن لم يعلم بها أحد من قبل. كان السبب في الأساس أن هذه الشركات الكبيرة للذكاء الاصطناعي — بما في ذلك Wiz التي تابعة الآن لـ Google — استطاعت استخدام نماذج اللغة الكبيرة للعثور على هذه الثغرات. [كما ذُكر أعلاه، أخطأت هنا: تم اكتشاف هذه الثغرات من قبل باحثين بشريين شاركوا في نشاط "Hack the Planet" التابع لـ OpenAI وWiz، لكنهم استخدموا الذكاء الاصطناعي لاستغلال هذا الخطأ.]
أعتقد أن أحد الاعتبارات هو أننا يجب أن نصلحه، لأننا إذا استطعنا استخدام نموذج لغوي كبير لاكتشاف هذه الثغرة، فآخرون يمكنهم أيضًا. لكن الطريقة الوحيدة التي يمكننا بها نشر التصحيح هي الكشف عن هذه الثغرة. وبالتالي، ينشأ موقف من الذعر الشديد، حيث يقولون: "حسنًا، هذه الثغرة موجودة منذ عقود. يجب أن تصلحها فورًا؛ إذا لم تستطع إصلاحها فورًا، فأغلق موقعك أولاً. هذه الثغرة خطيرة بهذا القدر."
كيرستن كوروسك: أعتقد أن النقطة المهمة هي أن العديد من الأشخاص لا يعرفون حتى أن مواقعهم تستخدم PHP — كما ذكرت، وهي لغة برمجة مفتوحة المصدر تعود لعقود عديدة.
لغير المطلعين، فإن "Hypertext Preprocessor" هو اسمه الرسمي؛ إنه في الواقع المكون الأساسي وراء أنظمة إدارة المحتوى مثل WordPress وDrupal، والتي تُستخدم من قبل حوالي 70% من المواقع الإلكترونية. نحن نتحدث عن عشرات الملايين من المواقع. بالنسبة لي، فإن المفتاح هو الحجم. كما أنه يُذكرني فورًا بشيئين: أولًا، هذا مجرد البداية. كم عدد البرمجيات القديمة السيئة التي لا تزال مختبئة هناك، وستُستغل في المستقبل؟
الشيء الثاني هو أن 404 Media أجرت تحليلًا رائعًا حول ما يُسمى بـ"تدهور الروابط"، حيث يقوم العديد من الأشخاص والشركات والحكومات، وربما حتى موقع المجتمع الصغير، بإغلاق هذه المواقع. وبالتالي، نرى عددًا كبيرًا من الروابط التي تصبح غير فعالة، وبعض المواقع التي كانت تحتفظ بقطع من التاريخ لم تعد قابلة للوصول إليها، بدلاً من الحفاظ عليها من خلال إصلاحها.
Sean: أنتوني، أعتقد أنك طرحت نقطة جيدة جدًا. لاحظت أن كثيرين غير راضين عن عملية الإفصاح هذه، كما أنهم غير راضين عن التعبيرات التي تبدو نوعًا ما "مُتَباهية" من قبل OpenAI في المشاركات ذات الصلة.
بالإضافة إلى ذلك، يبدو أن عدة أشخاص تصرفوا قبل فترة الحظر لهذا الإصدار، مما أثار سباقًا داخل دائرة القراصنة. أتذكر أن ماثيو برنس، الرئيس التنفيذي لشركة Cloudflare، قد نشر منشورًا يفيد بأن المحاولات الهجومية على PHP2Shell قد ارتفعت إلى ملايين المرات.
الطريقة المعتادة للتعامل مع هذه الثغرات في أمن الشبكات هي: إذا كنت تقوم باختبار ضغط على برنامج شركة ما، حتى لو كان ذلك البرنامج يدعم العديد من الحواسيب أو أجزاء معينة من الإنترنت، فيمكنك الإبلاغ عن المشكلة لتلك الشركة، وسيتم تقييد الأمر عادةً ضمن ذلك النطاق. لكن عندما نتحدث عن شيء عميق وأساسي مثل هذا، لا يمكنك إبلاغ الجميع سرًا.
أعني أنه ربما، إذا كان الذكاء الاصطناعي متقدمًا بما يكفي، وتمكنت من إرسال بريد إلكتروني إلى مليار وكيل لكل شخص يتحكم في جزء معين من الموقع، فقد يكون ذلك ممكنًا. نبدأ الآن في تذكر أيام مسؤولي الويب الذين كان من السهل التعرف عليهم، وقد يكون ذلك حلاً جزئيًا بطريقة ما. لكن لا توجد طريقة بسيطة على الإطلاق. أعتقد أن هذا مجرد بداية، وستأتي العديد من المناورات والردود، وهذا بالتأكيد حدود جديدة في مجال أمن الشبكات.
كيرستن: أرى أن منشور ماثيو برنس على وسائل التواصل الاجتماعي مُعبّر جدًا ومخيف أيضًا. بالإضافة إلى ذلك، لا أعلم إن كنتم قد رأيتم، فقد نشرت أمازون مدونة أيضًا. إنها شركة ذات تمويل ضخم، لذا لديها الأدوات والفرق اللازمة لرصد ما يحدث. إنهم يعملون أساسًا على شبكة فخ أو فخ، وهم بالفعل لاحظوا أن هناك من حاول استغلال هذا الثغرة قبل إعلانها علنًا.
بالنسبة لي، يعود هذا مرة أخرى إلى نفس السؤال: لدى أمازون الأدوات والرأس المال والخبرة للتعامل مع هذه الأمور، لكن هناك العديد من المواقع، وحتى ربما مواقع حكومية، لا تحظى بأي مستوى من الاهتمام هذا. لذا أعتقد أن هذا هو الجزء الحقيقي المخيف.
وأيضًا هناك بعض الموظفين الذكاء الاصطناعي في الخارج، الذين قد يدفعون هذا الأمر إلى حالة "الاستعداد للنهاية" أعلى، لأنك ترى أن البنوك قد تُستغل، بالإضافة إلى مخاوف بشأن البيانات والخصوصية، وكل هذا يشعر وكأنه أكبر بكثير مما يمكننا إصلاحه حاليًا. لذا أرغب جدًا في معرفة أمرين: أولًا، إلى أي مدى ستصبح سلوكيات الناس متطرفة؛ وثانيًا، أتساءل ما إذا كان هذا الأمر سيؤدي إلى ظهور شركات ناشئة جديدة، أو ما إذا كنا سننتقل إلى استخدام أدوات مفتوحة المصدر—مثل الأدوات التي توفرها شركات مثل Nvidia—لبناء طبقات الأمان هذه.