Sa mga unang araw ng linggo, isang nakakalungkot na pahayag ang inilabas: Dahil sa pagkakatuklas ng bagong vulnerability sa open-source programming language na PHP, kailangan ng mga may-ari ng website na agad na i-patch ang kanilang mga site; kung hindi kayang i-update agad, dapat i-offline ang website para sa kaligtasan.
Sa paunang TechCrunch na podyang “Equity” ng linggong ito, pinag-usapan ni Kirsten Korosec, Sean O’Kane, at ako ang kahulugan ng “PHPocalypse” na ito at kung may hahayag pa bang mga pangyayaring katulad nito sa hinaharap.
Sinabi ni Sean na ito ay totoong "panahon ng pag-clear", na nagpapakita na "kapag lumalalim ka sa mga buto ng internet", ang lahat ay tila "nakadepende sa glue at pangarap". Dagdag pa niya, habang ang malalaking language models at AI agents ay mas madaling ma-access, mas madaling makahanap ng mga vulnerabilities na ito. (Gayunpaman, ang mga vulnerabilities na ito ay natuklasan ng mga human researcher, hindi ng AI models.)
Ang Kirsten ay nag-aalala na maaari nating pumasok sa “mas mataas na antas ng paghahanda sa apokalipsa[…] dahil makikita mo na maaaring gamitin ang mga banko, at sa pamamagitan ng pag-uugnay sa mga isyu tungkol sa data at privacy, ang lahat ng ito ay tila mas malaki kaysa sa anumang maaari nating ayusin ngayon.”
Narito ang aming preview ng talakayan, na inayos at pinasimple.
Sean O’Kane: Ang tingin ko, sa maraming aspeto, may problema ang internet sa linggong ito.
Kung ang mambabasa ay hindi pa lubos na pamilyar sa bagay na ito, naniniwala ako na ang pinakamabuting paraan upang maunawaan ito ay: ilang beses na tayo'y nakaranas ng ganitong sandali sa nakalipas na 10 taon—kapag may isang bagay na bumagsak, o malapit na bumagsak, at ang isang tao na nagmamalasakit lamang sa isang maliit na repository sa kanyang libreng oras, ay nagsagawa ng pagkilos upang pigilan ang pagkabagsak ng internet infrastructure?
Isama ang iskena na ito sa isang bilyon: ang mga tao ay hindi lamang nakakakontak sa mga napakasigla at napakalaking language model na software na ginagamit ng lahat, kundi maaari rin nilang ipagkaloob ang mga gawain sa kanila upang gawin nang sarili nila; kasama pa ang paglitaw ng AI agents, na makakapag-focus sa paggawa ng mga bagay na ito.
Nakita namin ngayong linggo ang pagkakaroon ng dalawang puwersa nang sabay-sabay. Sa isang panig, ang mga laboratorio at kumpanya tulad ng Google at OpenAI ay talagang nagpadala ng mga tao upang makahanap ng isang serye ng mga butas, kabilang na rito ang butas sa PHP. Sa kabilang panig, marami ring tila nagpapabilis na gamitin ang mga butas na ito upang subukang masakop ang mga website. Kaya nakikita natin ang mga website ng gobyerno na inilabas, at ang ilang napakalaking website na nagkaroon ng maikling pagkakasira upang ayusin ang butas na ito.
Ito ang totoong pagkakaligtas, at makikita natin ang panganib sa baba na dulot ng pagbuo ng maraming bahagi ng internet sa pamamagitan ng mga open-source na teknolohiya tulad ng PHP. Sa pinakamababang antas ng internet, ito ay nakadepende lamang sa glue at pangarap.
Anthony Ha: Maraming mga bagay na nakakalito tungkol dito. Isa sa mga ito ay—kung nauunawaan ko nang tama—hindi ito bagong butas. Ang butas na ito ay umiiral na sa PHP ng ilang dekada.
Ang PHP, bilang isang programming language, ay ginamit upang buuin ang maraming mga webpage, kaya umiiral na ang vulnerability na ito sa loob ng ilang dekada, ngunit wala pa itong nalalaman bago. Ang pangyayari ay, ang mga malalaking AI company—kabilang ang Wiz na ngayon ay nasa ilalim ng Google—ay nakakapag-utilize ng LLM upang makahanap ng mga vulnerability na ito. [Tulad na nabanggit, mali ako dito: ang mga tao na miyembro ng OpenAI at Wiz sa aktibidad na “Hack the Planet” ang nahanap ng mga vulnerability, ngunit ginamit nila ang AI upang pagsamahin ang bug.]
Isang bahagi ng pag-iisip ko ay kailangan nating i-patch ito, dahil kung makakahanap ang LLM ng butas na ito, maaari rin ito ng gawin ng iba. Ang tanging paraan upang maipadala ang patch ay ang pagpapahayag ng butas. Kaya nagkakaroon ito ng napakalaking kaguluhan, kung saan sasabihin nila: “Sige, umiiral na ang butas na ito sa loob ng ilang dekada. Dapat ninyo itong i-patch agad; kung hindi ninyo ito maaayos agad, i-close muna ang inyong website. Ang butas na ito ay napakalala.”
Kirsten Korosec: Sa tingin ko, mahalagang punto ay marami sa mga tao ang hindi alam na ang kanilang website ay gumagamit ng PHP—tulad ng iyong nabanggit, isang open-source na programming language na may mga dekada nang kasaysayan.
Para sa mga hindi nakakaalam, ang Hypertext Preprocessor ay ang opisyal na pangalan nito; ito ay talagang pangunahing bahagi ng mga content management system tulad ng WordPress at Drupal, na ginagamit ng halos 70% ng mga website. Tungkol tayo sa mga sampu-sampung milyon na website. Para sa akin, ang susi ay ang sukat. Ito rin ay agad akong nag-iisip ng dalawang bagay: una, ito ay lang ang simula. Gaano karami pa ang mga lumang masamang software na nakatago doon, na maaaring gamitin sa hinaharap?
Ang pangalawang bagay ay ang isang magandang pag-aaral mula sa 404 Media na tumatalakay sa “link rot.” Dahil sa maraming tao, kumpanya, gobyerno, at posibleng ang maliit na website ng komunidad, ay pagsasara nila ang mga website na ito. Kaya nakikita natin ang malaking bilang ng mga link na hindi na gumagana, at ilang website na dati ay naglalaman ng mga bahagi ng kasaysayan ay hindi na ma-access, at hindi ito pinapanatili sa pamamagitan ng pagpapabuti.
Sean: Anthony, naniniwala ako na isang mabuting punto ang iyong sinabi. Nakikita ko na marami ang hindi nakakasaya sa proseso ng paglalathala na ito, at nagkakaroon rin sila ng pagkagalit sa "pagpapakita" na tono ng OpenAI sa kaugnay na post.
Bukod dito, tila may ilang tao ang nag-act bago ang ban sa paglalabas na ito, na nagdulot ng isang kompetisyon sa loob ng hacker community. Tanda ko na ang CEO ng Cloudflare na si Matthew Prince ay nag-post na ang mga subokang pag-atake laban sa PHP2Shell ay nagsabog hanggang sa milyon-milyon.
Ang karaniwang paraan ng pagharap sa mga butas na ito sa网络安全 ay: kung ikaw ay nagpapagana ng stress test sa isang software ng isang kumpanya, kahit na ito ay ang pundasyon ng maraming iba’t ibang computer o ilang bahagi ng internet, maaari mong i-report ang problema sa kumpanyang iyon, at sasaklaw ito sa loob ng limitadong saklaw lamang. Ngunit kapag tinutukoy natin ang ganitong malalim at pangunahing bagay, hindi mo maaring mag-notify nang tahimik sa lahat.
Ang ibig kong sabihin ay, baka kung sapat na advanced ang AI at kaya mong i-command ang isang bilyon na agent na magpadala ng email sa bawat isa na nangangasiwa sa isang bahagi ng website, maaari itong gawin. Nagsisimula na tayong mabawasan ang pagtanda sa mga araw ng madaling kilala na webmasters, baka sa ilang paraan ay masosolusyunan iyon. Pero walang simpleng paraan dito. Naniniwala ako na ito ay isang simula lamang, at susundan ito ng maraming paglalakbay at pagbabalik, at ito ay malinaw na isang bagong harapan sa larangan ng cybersecurity.
Kirsten: Ang post ni Matthew Prince sa social media ay tila napakalaking paliwanag at lubos na nakakatakot. Bukod dito, hindi ko alam kung nakita ninyo na ang Amazon ay nag-post ng isang blog. Isang kumpanya na may napakaraming pondo, kaya mayroon silang mga kasangkapan at tim na makakakita ng nangyayari. Parehong nagpapatakbo sila ng isang honey pot network o isang bait, at talagang nakita nila na may mga tao na sumubok na gamitin ang vulnerability bago ito ipahayag.
Para sa akin, bumabalik ito sa parehong tanong: May mga kasangkapan, kapital, at ekspertis ang Amazon upang harapin ang mga bagay na ito, ngunit mayroon pa ring maraming website, kahit ang ilan sa mga gobyerno, na walang ganitong antas ng pagmamalasakit. Kaya naniniwala ako, ito ang totoong nakakatakot na bahagi.
Mayroon pa ring ilang AI na empleyado sa labas na maaaring ipaglalaban ang sitwasyong ito sa mas mataas na antas ng “paghahanda sa apokalipsa,” dahil makikita mo na maaaring gamitin ang mga banko, kasama ang mga pag-aalala tungkol sa data at privacy, at lahat ng ito ay tila mas malaki kaysa sa anumang maaari naming ayusin ngayon. Kaya gusto kong tingnan ang dalawang bagay: una, gaano karami ang pagiging extremo ng pag-uugali ng mga tao; at pangalawa, isipin ko kung magiging sanhi ba ito ng ilang bagong startup, o kung tatawag tayo sa ilang open-source na tool—tulad ng mga tool na ibinibigay ng mga kumpanya tulad ng Nvidia—upang buuin ang mga security layer na ito.