এই সপ্তাহের শুরুতে একটি চমকপ্রদ ঘোষণা জারি করা হয়েছিল: ওপেন-সোর্স প্রোগ্রামিং ভাষা PHP-তে একটি নতুন ভালনার আবিষ্কারের কারণে, ওয়েবসাইট মালিকদের তাদের ওয়েবসাইটগুলি তাৎক্ষণিকভাবে প্যাচ করতে হবে; যদি তাৎক্ষণিকভাবে আপডেট করা সম্ভব না হয়, তবে নিরাপত্তার জন্য ওয়েবসাইটটি অস্থায়ীভাবে অফলাইন করে দিতে হবে।
এই সপ্তাহের TechCrunch একুইটি পডকাস্টে, কিরস্টেন করোসেক, শন ও'কেইন এবং আমি এই “PHPocalypse”-এর অর্থ এবং ভবিষ্যতে আরও এমন ঘটনা দেখা যাবে কিনা তা নিয়ে আলোচনা করেছি।
সিয়ান এটিকে প্রকৃত “ক্লিয়ারেন্স মুহূর্ত” বলেন, যা উজ্জ্বল করে তোলে যে “যখন আপনি ইন্টারনেটের হাড়ের স্তরে প্রবেশ করেন”, সবকিছুই মনে হয় “গুটি এবং স্বপ্নের উপর টিকে আছে”। তিনি আরও বলেন, বড় ভাষা মডেল এবং AI এজেন্টগুলির প্রচুর প্রাপ্যতার সাথে এই দুর্বলতাগুলি খুঁজে পাওয়া শুধুই সহজ হয়ে যাবে। (তবে, এই নির্দিষ্ট দুর্বলতাগুলি মানুষের গবেষকদ্বারা খুঁজে পাওয়া হয়েছিল, AI মডেলগুলি দ্বারা নয়।)
কির্স্টেন উদ্বিগ্ন যে, আমরা সম্ভবত “পরবর্তী স্তরের অ্যাপোক্যালিপস প্রস্তুতির মুডে” প্রবেশ করতে যাচ্ছি[…] কারণ আপনি দেখতে পাচ্ছেন যে ব্যাংকগুলিকে ব্যবহার করা যেতে পারে, এবং ডেটা এবং গোপনীয়তা সমস্যাগুলির কারণে, এই সবকিছু আমাদের এখন ঠিক করার চেয়ে অনেক বড় মনে হচ্ছে।
এটি আমাদের এই কথোপকথনের সংক্ষিপ্ত ও সংশোধিত পূর্বাবলোকন।
শিয়ান ও’কেইন: মনে হচ্ছে, এই সপ্তাহে ইন্টারনেট অনেক দিকেই সমস্যায় পড়েছে।
যদি পাঠক এই বিষয়ে এখনও অপরিচিত হন, তাহলে আমার মতে এটি বুঝার সেরা উপায় হল: গত ১০ বছরে, আমরা কতবার এমন মুহূর্তের সম্মুখীন হয়েছি—যেখানে কিছু কাজ করছিল না, বা কাজ করার পথে পড়েছিল, আর একজন শুধুমাত্র অতিরিক্ত সময়ে একটি ছোট রিপোজিটরি রক্ষণাবেক্ষণ করছিল, সেই ব্যক্তি ঠিক সময়েই একটি অসৎ কাজের সন্ধান পেয়েছিল এবং ইন্টারনেটের অবকাঠামোকে সম্পূর্ণভাবে ধ্বংস হতে থাকা থেকে বাঁচিয়েছিল?
এখন এই পরিস্থিতিকে এক বিলিয়ন গুণ করুন: মানুষ শুধু এই সব অত্যন্ত উন্নত ভাষা মডেল সফটওয়্যারগুলির সাথে পরিচিত হয়নি, বরং এগুলির কাছে কাজ দিয়ে দেয় যাতে এগুলি নিজেরাই এগুলি সম্পন্ন করে; এছাড়াও AI এজেন্টগুলির আবির্ভাব, যারা এই কাজগুলির উপর মনোযোগ দিয়ে কাজ করতে পারে।
এই সপ্তাহে আমরা দুটি শক্তি একসাথে কাজ করছে দেখেছি। একদিকে, গুগল এবং ওপেনএআই এর মতো ল্যাব এবং কোম্পানি বাস্তবিকই কিছু ভাঙ্গন খুঁজে পেয়েছে, যার মধ্যে পিএইচপি ভাঙ্গনও অন্তর্ভুক্ত। অন্যদিকে, অনেকেই এই ভাঙ্গনগুলির সুযোগ নিতে চেষ্টা করছে, যার ফলে ওয়েবসাইটগুলির উপর হামলা চালানো হচ্ছে। ফলস্বরূপ, আমরা সরকারি ওয়েবসাইটগুলির অফলাইন হওয়া এবং কিছু খুব জনপ্রিয় ওয়েবসাইটের সংক্ষিপ্তভাবে ডাউনটাইমেরও সম্মুখীন হয়েছি, যাতে এই ভাঙ্গনটি মেরামত করা যায়।
এটি প্রকৃত ক্লিয়ারিং মুহূর্ত, আমরা দেখতে পাব যে ইন্টারনেটের এতগুলি অংশকে পিএইচপি এর মতো ওপেন-সোর্স প্রযুক্তির উপর ভিত্তি করে গড়ে তোলার নিচের ঝুঁকি। ইন্টারনেটের সবচেয়ে মৌলিক স্তরে, এটি শুধুমাত্র গুটিয়ে রাখার জন্য গুটি এবং স্বপ্নের উপর নির্ভরশীল।
অ্যানথনি হা: এটির সবচেয়ে আশ্চর্যজনক বিষয়গুলির মধ্যে একটি হলো—যদিও আমার বোঝার মতো—এটি একটি নতুন দুর্বলতা নয়। এই দুর্বলতা PHP-এ কয়েক দশক ধরে বিদ্যমান।
PHP একটি প্রোগ্রামিং ভাষা হিসেবে ব্যবহার করে অসংখ্য ওয়েবপেজ তৈরি করা হয়েছে, তাই এই ভুলটি কয়েক দশক ধরে বিদ্যমান ছিল, কিন্তু আগে কেউ জানত না। ঘটনাটির মূল বিষয় হলো, এই বড় AI কোম্পানিগুলি—যারা এখন Google-এর অধীনে Wiz—LLM ব্যবহার করে এই ভুলগুলি খুঁজে পেতে পারে। [উপরে উল্লেখিতভাবে, আমি এখানে ভুল বলেছি: OpenAI এবং Wiz-এর “Hack the Planet” অ্যাক্টিভিটিতে অংশগ্রহণকারী মানব গবেষকদের দ্বারা এই ভুলগুলি আবিষ্কৃত হয়েছিল, তবে তারা এই bug-এর ব্যবহারের জন্য AI-এর সহায়তা নিয়েছিল।]
আমি মনে করি এর মধ্যে একটি বিষয় হলো, আমাদের এটি ঠিক করতে হবে, কারণ যদি আমরা LLM ব্যবহার করে এই দুর্বলতা খুঁজে পাই, অন্যরাও পাবে। কিন্তু আমরা শুধুমাত্র এই দুর্বলতা প্রকাশ করেই প্যাচটি প্রকাশ করতে পারি। তাই এটি একটি অত্যন্ত উদ্বেগজনক পরিস্থিতি তৈরি করে, যেখানে তারা বলবে: “ঠিক আছে, এই দুর্বলতা কয়েক দশক ধরে বিদ্যমান। আপনাকে অবিলম্বে এটি ঠিক করতে হবে; যদি আপনি অবিলম্বে ঠিক করতে না পারেন, তাহলে আপনারওয়েবসাইটটি বন্ধ করে দিন। এই দুর্বলতাটি এতটাই গুরুতর।”
কির্স্টেন করোসেক: আমার মনে হয় গুরুত্বপূর্ণ বিষয় হলো, অনেকেই জানে না যে তাদের ওয়েবসাইটে PHP ব্যবহার করা হচ্ছে—যেমন আপনি উল্লেখ করেছেন, এটি একটি কয়েক দশক পুরনো ওপেন-সোর্স প্রোগ্রামিং ভাষা।
অজানা ব্যক্তিদের জন্য, Hypertext Preprocessor হল এর ঔপচারিক নাম; এটি বাস্তবে WordPress, Drupal ইত্যাদি কনটেন্ট ম্যানেজমেন্ট সিস্টেমের মূল অংশ, যেগুলি প্রায় 70% ওয়েবসাইট দ্বারা ব্যবহৃত হয়। আমরা কয়েককোটি ওয়েবসাইটের কথা বলছি। আমার জন্য, মূল বিষয়টি হল পরিমাণ। এটি আমাকে তৎক্ষণাৎ দুটি জিনিসের কথা মনে করিয়ে দেয়: প্রথমত, এটি শুধুমাত্র শুরু। আরও কতগুলি পুরনো, খারাপ সফটওয়্যার এখনও লুকিয়ে আছে, যা ভবিষ্যতে ব্যবহার করা হবে?
দ্বিতীয় বিষয়টি হল 404 Media-এর একটি দুর্দান্ত বিশ্লেষণ, যেখানে “লিঙ্ক রাস্ট” এর কথা বলা হয়েছে। কারণ অনেক মানুষ, কোম্পানি, সরকার, এবং হয়তো সেই ছোট কমিউনিটি ওয়েবসাইটও এই ওয়েবসাইটগুলি বন্ধ করে দেয়। ফলে আমরা অসংখ্য লিঙ্ক অকার্যকর হতে দেখব, এবং ইতিহাসের কিছু অংশকে বহন করা ওয়েবসাইটগুলি পুনরুদ্ধারের পরিবর্তে অ্যাক্সেসযোগ্য হবে না।
শিয়ান: অ্যানথনি, আমি মনে করি তুমি একটি খুব ভালো পয়েন্ট তুলে ধরেছ। আমি দেখছি অনেকেই এই প্রকাশ প্রক্রিয়ার সাথে অসন্তুষ্ট এবং OpenAI-এর সংশ্লিষ্ট পোস্টে একটু “দেখানোর” শৈলীতে লেখা প্রতি অসন্তুষ্ট।
অন্যদিকে, কিছু মানুষ এই প্রকাশের আগেই কাজ শুরু করেছে, যা হ্যাকার সম্প্রদায়ে একটি প্রতিযোগিতা শুরু করেছে। আমি মনে করি, Cloudflare-এর CEO Matthew Prince ইতিমধ্যেই পোস্ট করেছেন যে PHP2Shell-এর জন্য পরীক্ষামূলক আক্রমণগুলি মিলিয়নের মাত্রায় বেড়েছে।
নেটওয়ার্ক নিরাপত্তায় এই ধরনের ভাঙ্গনের সাধারণ প্রতিক্রিয়া হল: যদি আপনি কোনো কোম্পানির সফটওয়্যারের উপর প্রেশার টেস্ট করছেন, যদিও সেটি অনেকগুলি কম্পিউটার বা ইন্টারনেটের কিছু অংশকে চালানোর ভিত্তি হয়, আপনি সমস্যাটি সেই কোম্পানিকে জানাতে পারেন, এবং এটি সাধারণত সেই সীমার মধ্যেই সীমাবদ্ধ থাকে। কিন্তু যখন আমরা এই গভীর, মৌলিক জিনিসগুলির কথা বলি, তখন আপনি সবাইকে চুপচাপভাবে জানাতে পারবেন না।
আমার মানে হলো, হয়তো যদি এআই যথেষ্ট উন্নত হয় এবং আপনি প্রতিটি ওয়েবসাইটের কিছু অংশের দায়িত্বে থাকা ব্যক্তিদের কাছে একশো কোটি প্রক্সি পাঠাতে পারেন, তাহলে এটি সম্ভবত করা যেতে পারে। আমরা এখন সেই সহজেই চিনা যায় এমন ওয়েবম্যানের দিনগুলোকে মনে করছি, যেখানে কিছুটা সমস্যার সমাধান হতে পারত। কিন্তু এখানে কোনো সহজ উপায় নেই। আমি মনে করি, এটি শুধুমাত্র শুরু, এবং এরপরে অনেকগুলো আসা-যাওয়া হবে, এবং এটি স্পষ্টতই সাইবার সিকিউরিটির একটি নতুন সীমান্ত।
কির্স্টেন: ম্যাথিউ প্রিন্সের সোশ্যাল মিডিয়া পোস্টটি আমার কাছে খুব বোধগম্য এবং পর্যাপ্ত ভয়াবহ। অন্যদিকে, আমি জানি না আপনারা কি দেখেছেন, অ্যামাজনও একটি ব্লগ পোস্ট করেছে। এটি একটি অত্যন্ত অর্থসমৃদ্ধ কোম্পানি, তাই তাদের কাছে ঘটনাগুলি ধরে রাখার জন্য সরঞ্জাম এবং দল রয়েছে। তারা প্রায়শই একটি মিঠাইপাত্র নেটওয়ার্ক, বা একটি বাইট চালু রেখেছে, এবং তারা পরিষ্কারভাবে দেখেছে যে, এই দুর্বলতা প্রকাশের আগেই এটির ব্যবহারের চেষ্টা হচ্ছিল।
আমার জন্য, এটি আবার একই সমস্যায় ফিরে আসে: অ্যামাজনের এই ধরনের বিষয়গুলি প্রতিক্রিয়া জানানোর জন্য টুলস, মূলধন এবং বিশেষজ্ঞতা রয়েছে, কিন্তু এতগুলি ওয়েবসাইট রয়েছে, এমনকি সম্ভবত সরকারি ওয়েবসাইটগুলিও, যেগুলির এই মাত্রার মনোযোগ নেই। তাই আমি মনে করি, এটিই সত্যিকারের ভয়ঙ্কর অংশ।
এছাড়াও বাইরে কিছু AI কর্মচারী রয়েছে যারা এই ঘটনাকে আরও উচ্চতর “অ্যাপোক্যালিপস প্রস্তুতি” অবস্থায় নিয়ে যেতে পারে, কারণ আপনি দেখতে পাচ্ছেন যে ব্যাংকগুলি ব্যবহার করা যেতে পারে, এবং ডেটা এবং গোপনীয়তা সংক্রান্ত উদ্বেগ যোগ হয়ে, এই সবকিছু আমাদের এখন ঠিক করতে পারা চেয়ে অনেক বড় মনে হচ্ছে। তাই আমি দুটি জিনিস দেখতে চাই: প্রথমত, মানুষের আচরণ কতটা চরম হয়ে উঠবে; দ্বিতীয়ত, আমি ভাবছি, এই ঘটনাটি কি কিছু নতুন স্টার্টআপকে জন্ম দেবে, অথবা আমরা Nvida-এর মতো কোম্পানিগুলির দ্বারা প্রদানকৃত ওপেন-সোর্স টুলগুলির উপর নির্ভরশীল হয়ে এই সুরক্ষা স্তরগুলি তৈরি করতে চলেছি।