Awal pekan ini, pengumuman mengejutkan dirilis: karena ditemukannya kerentanan baru dalam bahasa pemrograman open-source PHP, pemilik situs web harus segera memperbaiki situs mereka; jika tidak dapat diperbarui segera, demi keamanan, situs web sebaiknya diturunkan terlebih dahulu.
Dalam episode podcast TechCrunch Equity minggu ini, Kirsten Korosec, Sean O’Kane, dan saya membahas makna dari “PHPocalypse” ini serta apakah akan ada lebih banyak peristiwa serupa di masa depan.
Sean menyebut ini sebagai "waktu pelunasan" yang sejati, yang menonjolkan bahwa "ketika Anda menelusuri hingga ke tingkat tulang belakang internet," semuanya tampak seperti "dipertahankan oleh lem dan impian." Ia juga menyatakan bahwa dengan tersedianya model bahasa besar dan agen AI secara luas, menemukan kerentanan ini hanya akan menjadi lebih mudah. (Namun, kerentanan spesifik ini ditemukan oleh peneliti manusia, bukan model AI.)
Kirsten khawatir kita mungkin segera memasuki suasana persiapan akhir zaman tingkat selanjutnya[…] karena Anda bisa melihat bahwa bank mungkin akan dimanfaatkan, dan mengingat masalah data dan privasi, semuanya terasa jauh lebih besar daripada yang bisa kita perbaiki sekarang.
Berikut adalah pratinjau percakapan ini, yang telah disunting dan disempurnakan.
Sean O’Kane: Sepertinya, minggu ini internet mengalami masalah di banyak aspek.
Jika pembaca belum terlalu familiar dengan hal ini, menurut saya cara terbaik untuk memahaminya adalah: dalam 10 tahun terakhir, berapa kali kita mengalami momen seperti ini—sesuatu rusak, atau hampir rusak, dan seseorang yang hanya merawat repositori kecil di waktu luangnya, kebetulan menemukan ada aktivitas jahat yang sedang berlangsung dan mencegah infrastruktur internet runtuh sepenuhnya?
Kalikan skenario ini dengan satu miliar: orang tidak hanya dapat mengakses perangkat lunak model bahasa besar yang sangat canggih dan banyak digunakan ini, tetapi juga dapat menugaskan tugas-tugas tersebut kepada mereka agar dilakukan secara otomatis; ditambah dengan munculnya agen AI yang dapat fokus menyelesaikan hal-hal ini.
Minggu ini kita melihat dua kekuatan terjadi secara bersamaan. Di satu sisi, laboratorium dan perusahaan seperti Google dan OpenAI memang mengirimkan tim untuk menemukan sejumlah kerentanan, termasuk kerentanan PHP. Di sisi lain, banyak orang tampaknya berlomba-lomba memanfaatkan kerentanan ini untuk mencoba menyusup ke situs web. Oleh karena itu, kita melihat situs pemerintah diturunkan, serta beberapa situs sangat populer mengalami gangguan sementara untuk memperbaiki kerentanan ini.
Ini adalah momen likuidasi sejati, dan kita akan melihat risiko penurunan dari banyak bagian internet yang dibangun di atas teknologi open-source seperti PHP. Di tingkat paling dasar, internet dipertahankan oleh lem dan impian.
Anthony Ha: Ada banyak hal yang paling mengejutkan dari hal ini. Salah satunya adalah—setidaknya menurut pemahaman saya—ini bukan kerentanan baru. Kerentanan ini telah ada di PHP selama beberapa dekade.
PHP sebagai bahasa pemrograman telah digunakan untuk membangun sejumlah besar halaman web, sehingga kerentanan ini telah ada selama puluhan tahun, tetapi sebelumnya tidak ada yang mengetahuinya. Secara garis besar, perusahaan-perusahaan AI besar—termasuk Wiz yang kini dimiliki oleh Google—mampu memanfaatkan LLM untuk menemukan kerentanan ini. [Seperti yang telah disebutkan di atas, saya salah di sini: peneliti manusia yang berpartisipasi dalam kegiatan “Hack the Planet” OpenAI dan Wiz menemukan kerentanan ini, meskipun mereka menggunakan AI untuk memanfaatkan bug tersebut.]
Saya pikir salah satu pertimbangannya adalah kita harus memperbaikinya, karena jika kita bisa menemukan kerentanan ini dengan LLM, orang lain juga bisa. Satu-satunya cara kita bisa merilis perbaikan adalah dengan mengungkapkan kerentanan ini. Jadi ini menciptakan situasi yang sangat panik, di mana mereka akan berkata: "Baiklah, kerentanan ini telah ada selama puluhan tahun. Anda harus segera memperbaikinya; jika Anda tidak bisa segera memperbaikinya, matikan situs web Anda terlebih dahulu. Kerentanan ini begitu serius."
Kirsten Korosec: Saya pikir poin pentingnya adalah banyak orang bahkan tidak tahu bahwa situs web mereka menggunakan PHP—seperti yang Anda sebutkan, ini adalah bahasa pemrograman open source yang sudah berusia puluhan tahun.
Bagi mereka yang tidak tahu, Hypertext Preprocessor adalah nama resminya; sebenarnya ini adalah komponen inti di balik sistem manajemen konten seperti WordPress dan Drupal, yang digunakan oleh sekitar 70% situs web. Kita berbicara tentang puluhan juta situs web. Bagi saya, kuncinya adalah skalanya. Ini juga langsung membuat saya memikirkan dua hal: pertama, ini baru permulaan. Masih ada berapa banyak perangkat lunak buruk yang sudah lama ada dan bersembunyi, yang akan dimanfaatkan di masa depan?
Hal kedua adalah analisis hebat dari 404 Media yang membahas "kerusakan tautan". Karena banyak orang, perusahaan, pemerintah, mungkin juga situs web komunitas kecil, akan menutup situs-situs ini. Akibatnya, kita akan melihat banyak tautan yang tidak berfungsi, serta beberapa situs yang sebelumnya menyimpan fragmen sejarah menjadi tidak dapat diakses, bukan melalui perbaikan untuk melestarikannya.
Sean: Anthony, saya rasa kamu menyampaikan pandangan yang sangat baik. Saya melihat banyak orang tidak puas dengan proses pengungkapan ini, serta tidak senang dengan gaya penyampaian OpenAI yang terkesan agak "mempertontonkan" diri di postingan terkait.
Selain itu, tampaknya beberapa orang bertindak sebelum masa larangan rilis ini, memicu persaingan di kalangan hacker. Saya ingat CEO Cloudflare, Matthew Prince, telah memposting bahwa upaya serangan terhadap PHP2Shell telah meningkat menjadi jutaan kali.
Cara umum menangani kerentanan semacam ini dalam keamanan siber adalah: jika Anda melakukan pengujian beban pada perangkat lunak perusahaan tertentu, meskipun itu adalah perangkat lunak dasar yang mendukung banyak komputer berbeda atau sebagian dari internet, Anda dapat melaporkan masalah tersebut ke perusahaan tersebut, dan masalahnya pada dasarnya akan dibatasi dalam lingkup itu. Namun, ketika kita membahas hal-hal mendalam dan mendasar seperti ini, Anda tidak bisa memberi tahu semua orang secara diam-diam.
Yang saya maksud adalah, mungkin jika AI cukup maju dan Anda bisa mengendalikan miliaran agen untuk mengirim email ke setiap orang yang mengelola bagian tertentu dari situs web, hal itu mungkin bisa dilakukan. Kita sekarang mulai merindukan masa-masa ketika administrator situs web mudah dikenali, karena mungkin cara itu某种程度上 bisa menyelesaikan masalah. Tapi sama sekali tidak ada solusi sederhana. Saya pikir ini baru permulaan, dan akan ada banyak tarik-ulur ke depannya, dan ini jelas merupakan frontier baru di bidang keamanan siber.
Kirsten: Posting media sosial Matthew Prince menurut saya sangat menggambarkan dan cukup menakutkan. Selain itu, saya tidak tahu apakah kalian melihat, Amazon juga menerbitkan sebuah blog. Mereka adalah perusahaan dengan dana yang sangat besar, jadi mereka memiliki alat dan tim untuk menangkap apa yang sedang terjadi. Mereka pada dasarnya menjalankan jaringan honey pot, atau umpan, dan mereka benar-benar melihat bahwa ada orang yang sudah mencoba memanfaatkannya sebelum kerentanan ini diumumkan secara publik.
Bagi saya, ini kembali ke masalah yang sama: Amazon memiliki alat, modal, dan keahlian untuk mengatasi hal-hal ini, tetapi masih ada begitu banyak situs web, bahkan mungkin termasuk situs pemerintah, yang sama sekali tidak mendapat perhatian selevel ini. Jadi menurut saya, inilah bagian yang benar-benar menakutkan.
Selain itu, ada beberapa karyawan AI di luar sana yang mungkin mendorong insiden ini ke tingkat yang lebih tinggi, yaitu “status persiapan akhir zaman”, karena Anda bisa melihat bahwa bank berpotensi dimanfaatkan, ditambah kekhawatiran terkait data dan privasi, semuanya terasa jauh lebih besar daripada yang bisa kita perbaiki sekarang. Jadi saya sangat ingin melihat dua hal: pertama, seberapa ekstrem perilaku manusia akan menjadi; kedua, saya juga mempertimbangkan apakah insiden ini akan melahirkan beberapa startup baru, atau apakah kita akan beralih ke penggunaan beberapa alat open-source—seperti alat yang disediakan oleh perusahaan seperti Nvidia—untuk membangun lapisan keamanan ini.