AI駆動のハッキングにより、『Black October』と名付けられた重要なPHPの脆弱性が明らかに

今週、サイバーセキュリティのリーダーたちは、今後数か月でAIツールがグローバルなインターネットインフラのさらなる根本的な脆弱性を明らかにするだろうと警告した。研究者は、数百万のウェブサイトで使用されているプログラミング言語PHPにおいて、重要な欠陥をAIで特定した。この発見は10月21日に発表され、「ブラック・オクトーバー」と呼ばれている。これらの欠陥は、数百万のウェブサイトが長年にわたりハッカーの脅威にさらされていた可能性がある。一部の専門家は、インターネットサイトの70％がハッキングのリスクにさらされていると推定している。

サム・アルトマンは木曜日の夜、アルトマンはすべてのバグをパッチで修正できるとはもはや考えていないと語った。Anthropicの副CISOであるジェイソン・クリントンは、今後数ヶ月で「脆弱性の津波」が訪れるだろうと予測した。クリントンは木曜日の夜、重要なインフラをパッチで修正する時間が十分に残されていないと述べた。SalesforceのCEO、マーク・ベニオフはクリントンに賛同し、この状況を「コードレッド」と表現した。

CloudflareのCEOであるマシュー・プリンスは、AIがセキュリティの脆弱性を、セキュリティ専門家が対応できないほどの速さで特定できると述べた。プリンスは、新しいツールが無限の忍耐でインターネット上の脆弱性を探索するため、今後2年間は非常に困難になると予測した。サイバーセキュリティの専門家たちは数か月前から、AIがセキュリティのバグを発見しやすくすると警告していた。しかし、「Black October」まで、研究者たちはPHPの欠陥のように基本的かつ重要な脆弱性をAIで発見していなかった。テクノロジー業界のリーダーたちは、悪意のある攻撃者がAIを用いてこれまでにない速さで脆弱性を悪用する可能性にも懸念を抱いている。

PHPの脆弱性を悪用しようとする試みはすでに始まっています。発表後、米国および英国の政府および民間のウェブサイトが一時的にオンラインをオフにしてバグのパッチを適用しました。米国国家安全保障局（NSA）は、PHPを実行するすべてのウェブサイトに対して即座にパッチをインストールするよう警告を発しました。NSAは、悪意のあるサイバー行為者がこの脆弱性をさらに悪用して、無許可のサーバーへのアクセスを獲得する可能性があると警告しました。NSAは、このようなアクセスにより、攻撃者が機密情報を盗み、サービスを中断し、ネットワーク内にさらに侵入できるようになる可能性があると述べました。

プリンスは、Cloudflareというセキュリティプロバイダーが、発表の10時間前までに数千人がPHPの脆弱性を悪用しようとしている兆候を検出していたと述べた。プリンスは、発表後の最初の45分間でその数が数万に増加したと述べた。プリンスは、2時間以内にその数が数十万に達したと述べた。プリンスは、その後その数が数百万に達したと述べた。

AIセキュリティプラットフォームWizの研究者は、この発見をPHPで最も深刻な脆弱性の一つ、そしてソフトウェア歴史上でも最悪の脆弱性の一つと評価しました。Wizの研究者は、これらの基盤となる弱点が数十年にわたり存在していたと述べました。また、攻撃者がこれらの脆弱性を悪用できることを実証するには、人間の研究の実用的限界に近い異常に複雑な手順が必要であると述べました。