今週初め、オープンソースプログラミング言語PHPで新たな脆弱性が発見されたという衝撃のアナウンスが発表され、ウェブサイト所有者は直ちにパッチを適用する必要がある。すぐに更新できない場合は、セキュリティを確保するためにウェブサイトを一時的にオフラインにすべきである。
今週のTechCrunch『Equity』ポッドキャストで、Kirsten Korosec、Sean O’Kane、そして私はこの「PHPocalypse」の意味と、今後同様のイベントがさらに発生するかどうかについて話し合いました。
Seanは、これが本当の「清算の瞬間」であり、「インターネットの骨格レベルまで深く掘り下げると」、すべてが「接着剤と夢でつながっているように見える」ことを強調した。また、大規模言語モデルとAIエージェントが広く利用可能になるにつれて、これらの脆弱性を見つけるのはさらに容易になると述べた。（ただし、これらの具体的な脆弱性はAIモデルではなく、人間の研究者によって発見された。）
キルステンは、私たちが「次のレベルの終末準備感情」に入ろうとしている可能性を懸念しており、「銀行が悪用される可能性が見て取れ、データやプライバシーの問題を考慮すると、これは私たちが今すぐ修正できる以上の規模に思える」と述べた。
以下は、この会話のプレビューです。内容を省略・修正しています。
シーン・オ’ケイン：この週、インターネットは多くの面で問題を抱えているようだ。
もし読者がこの出来事にあまり馴染みがない場合、最も良い理解の仕方は次の通りです：過去10年間で、どれほど多くの瞬間があったでしょうか——何かが故障したり、故障しかけたりしたとき、たった一人の趣味で小さなリポジトリを保守している人が、悪意ある行為が進行していることに気づき、インターネットインフラの完全な崩壊を防いだという瞬間が。
今、このシナリオを10億倍にしてみてください。人々は、誰もが使っている非常に高度な大言語モデルソフトウェアにアクセスできるだけでなく、タスクをそれらに委託して、自ら実行させることができるようになり、さらに、これらのタスクに集中して取り組むAIエージェントの登場によってそれが可能になります。
今週は、二つの力が同時に発生しました。一方では、GoogleやOpenAIなどの研究所や企業が、PHPを含む複数の脆弱性を発見するために人員を派遣しました。他方では、多くの人々がこれらの脆弱性を急いで悪用し、ウェブサイトへの侵入を試みているようです。その結果、政府サイトが一時的にダウンし、一部の人気ウェブサイトもこの脆弱性を修正するために一時的に停止しました。
これは本物の清算の瞬間であり、インターネットの多くの部分がPHPのようなオープンソース技術に支えられていることの下落リスクが明らかになるだろう。インターネットの最底層では、それはガムと夢でつながれているにすぎない。
アンソニー・ハ：この出来事で最も驚くべき点はたくさんありますが、その一つは——少なくとも私の理解では——これが新しい脆弱性ではないということです。この脆弱性は、PHP で数十年間存在していました。
PHPは多くのウェブページの構築に使用されてきたプログラミング言語であるため、この脆弱性は数十年間存在していたが、これまで誰も気づいていなかった。事の経緯は、Googleが所有するWizを含む大手AI企業が、LLMを活用してこれらの脆弱性を発見できたことである。[前述の通り、私の記述に誤りがあった：OpenAIとWizの「Hack the Planet」イベントに参加した人間の研究者が、このバグを悪用するためにAIを使用して脆弱性を発見した。]
その一部の考慮事項として、私たちがこの脆弱性を発見できたのなら、他の人もできるはずなので、修正しなければなりません。しかし、この脆弱性を公開する以外に、パッチをリリースする方法はありません。そのため、非常にパニックな状況が生じます。「この脆弱性は数十年間存在していた。すぐに修正しなければならない。すぐに修正できないなら、まずウェブサイトをシャットダウンせよ。この脆弱性はこれほど深刻だ。」
キルステン・コロセック：重要な点は、多くの人が自分のウェブサイトがPHPを使っていることさえ知らないということです——あなたが言及したように、これは数十年の歴史を持つオープンソースのプログラミング言語です。
知らない人にとっては、Hypertext Preprocessor が正式な名称だが、実際には、約70％のウェブサイトで使用されている WordPress や Drupal などのコンテンツ管理システムの核心部分である。数千万のウェブサイトを意味している。私にとって重要なのは、その規模だ。これにより、すぐに二つのことを思い浮かべる。第一に、これは始まりにすぎない。まだどれほど多くの古く、不十分なソフトウェアが潜んでいて、今後悪用される可能性があるのだろうか？
二つ目の事項は、404 Mediaが行なった優れた分析で、「リンクの劣化」について言及しています。多くの個人、企業、政府、そして小さなコミュニティのウェブサイトがこれらのサイトを閉鎖するため、大量のリンクが無効になり、歴史の断片を担っていたウェブサイトが修復されずにアクセスできなくなってしまうのです。
シーン：アンソニー、あなたが提起した点はとても良いと思います。多くの人が今回の開示プロセスに不満を抱いており、OpenAIが関連投稿でやや「自慢げ」な表現をしていたことにも不満を感じているのが見られます。
また、いくつかの人物がこの発表の禁輸期間前に行動し、ハッカー界で競争が起きたようだ。私はCloudflareのCEOであるMatthew Princeが、PHP2Shellに対する試みの攻撃が数百万回にまで増加したと投稿したことを覚えている。
このような脆弱性に対するネットワークセキュリティにおける一般的な対応方法は、ある企業のソフトウェアに対して負荷テストを実施する場合、たとえそれが多くのコンピュータやインターネットの一部を支える基盤ソフトウェアであっても、問題をその企業に報告すれば、その範囲内で対応が制限されるというものです。しかし、このような深層的かつ基盤的なものについて話す場合、誰かにこっそりと通知することはできません。
私の意味は、AIが十分に進化し、あなたが十億のエージェントを動かして、それぞれのウェブサイトの一部を管理する人物にメールを送信できるなら、それは可能かもしれないということです。私たちは、今では簡単に識別できたウェブ管理者の時代を懐かしく思い始めています。おそらく、それなら何らかの解決策になっていたでしょう。しかし、これには簡単な解決策はまったくありません。私は、これがただの始まりに過ぎず、今後、多くの行き来が繰り返され、これはサイバーセキュリティ分野における新たなフロンティアであると確信しています。
キルステン：マシュー・プリンスのソーシャルメディア投稿は、非常に示唆に富んでおり、非常に恐ろしいように思えます。また、皆さんもご存知かもしれませんが、Amazonもブログを掲載しています。彼らは資金が非常に豊富な企業であり、発生していることを捉えるためのツールとチームを持っています。彼らは基本的にハニーポットネットワーク、あるいは罠を運営しており、この脆弱性が公にされる前から、すでに誰かがそれを悪用しようとしていたことを確認しました。
私にとって、これはまた同じ問題に戻ります：Amazonには、これらの対応に必要なツール、資本、専門知識がありますが、それ以外にも多くのウェブサイト、甚至政府のウェブサイトまで、このようなレベルの注目を受けていません。だからこそ、これが本当に恐ろしい部分だと思います。
また、外部にはAI従業員もおり、これがより高度な「末日準備」状態へと発展する可能性があります。銀行が悪用される可能性があり、データやプライバシーに関する懸念も加わると、これは現在私たちが修正できる範囲を超えた規模に思えます。そのため、私は以下の2点に注目したいと思います。第一に、人々の行動がどれほど極端になるか。第二に、この出来事が新たなスタートアップを生み出すのか、あるいはNvidiaのような企業が提供するオープンソースツールを利用して、これらのセキュリティ層を構築する方向にシフトするのかどうかです。