Pada awal minggu ini, satu pengumuman mengejutkan telah dikeluarkan: pemilik laman web mesti segera membaiki laman web mereka kerana penemuan lubang keamanan baharu dalam bahasa pengaturcaraan sumber terbuka PHP; jika tidak dapat dikemas kini segera, laman web sebaiknya diturunkan demi keselamatan.
Dalam rancangan podcast TechCrunch Equity minggu ini, Kirsten Korosec, Sean O’Kane, dan saya membincangkan makna “PHPocalypse” ini serta sama ada akan ada lebih banyak peristiwa serupa di masa depan.
Sean menyebut ini sebagai "masa pelaksanaan sebenar", yang menonjolkan bahawa "apabila anda merenung ke dalam tulang belakang internet", semuanya kelihatan seperti "dipertahankan oleh gam dan impian". Beliau juga menyatakan bahawa dengan ketersediaan luas model bahasa besar dan agen AI, penemuan lubang-lubang ini hanya akan menjadi lebih mudah. (Walau bagaimanapun, lubang-lubang khusus ini ditemui oleh penyelidik manusia, bukan model AI.)
Kirsten pula bimbang bahawa kita mungkin akan memasuki "emosi persiapan akhir zaman tahap seterusnya[…] kerana anda boleh melihat bahawa bank mungkin akan dimanfaatkan, dan mengingat isu data dan privasi, semuanya terasa lebih besar daripada apa yang boleh kita selesaikan sekarang."
Berikut adalah pra-pandangan kami terhadap perbincangan ini, yang telah dipendekkan dan disempurnakan.
Sean O’Kane: Kelihatan bahawa internet mengalami masalah dalam banyak aspek minggu ini.
Jika pembaca belum terlalu mengenali perkara ini, saya rasa cara terbaik untuk memahaminya ialah: dalam 10 tahun terakhir, berapa kali kita mengalami momen seperti ini—sesuatu gagal, atau hampir gagal, dan seseorang yang hanya menyelenggarakan repositori kecil di waktu senggang secara kebetulan menemui aktiviti jahat yang sedang berlaku dan mencegah infrastruktur internet runtuh sepenuhnya?
Kali ganda skenario ini sebanyak satu bilion: orang tidak hanya boleh mengakses perisian model bahasa besar yang sangat canggih dan digunakan secara meluas ini, tetapi juga boleh menugaskan tugas kepada mereka untuk dilakukan secara automatik; ditambah dengan kemunculan agen AI yang boleh fokus menyelesaikan perkara-perkara ini.
Minggu ini, kita melihat dua kekuatan berlaku serentak. Di satu sisi, laboratorium dan syarikat seperti Google dan OpenAI memang menghantar orang untuk mengesan satu siri lubang keamanan, termasuk lubang pada PHP. Di sisi lain, ramai orang kelihatan sedang berlumba-lumba memanfaatkan lubang-lubang ini untuk cuba menyusup ke laman web. Oleh itu, kita melihat laman web kerajaan ditangguhkan, serta beberapa laman web yang sangat popular mengalami gangguan sementara bagi membaiki lubang ini.
Ini adalah masa peliksaan sebenar, dan kita akan melihat risiko penurunan yang timbul daripada membina begitu banyak bahagian internet berdasarkan teknologi open-source seperti PHP. Di peringkat paling asas internet, ia hanya dikekalkan oleh gam dan impian.
Anthony Ha: Terdapat banyak perkara yang paling mengejutkan mengenai perkara ini. Salah satunya adalah—sekurang-kurangnya menurut pemahaman saya—ini bukan satu kelemahan baharu. Kelemahan ini telah wujud dalam PHP selama puluhan tahun.
PHP sebagai bahasa pengaturcaraan telah digunakan untuk membina banyak laman web, jadi kelemahan ini telah wujud selama beberapa dekad, tetapi sebelum ini tiada siapa yang mengetahuinya. Secara ringkasnya, syarikat AI besar-besaran ini—termasuk Wiz yang kini dimiliki oleh Google—mampu memanfaatkan LLM untuk mencari kelemahan ini. [Seperti yang telah dinyatakan di atas, saya salah di sini: penyelidik manusia yang terlibat dalam aktiviti “Hack the Planet” OpenAI dan Wiz menemui kelemahan ini, tetapi mereka menggunakan AI untuk memanfaatkan kelemahan ini.]
Saya rasa sebahagian pertimbangan kami ialah kami mesti memperbaikinya, kerana jika kami boleh menggunakan LLM untuk menemui lubang ini, orang lain juga boleh. Tetapi satu-satunya cara kami boleh mengeluarkan pembaikan ialah dengan mengumumkan lubang ini. Oleh itu, ini mencipta situasi yang sangat panik, di mana mereka akan berkata: “Baiklah, lubang ini telah wujud selama puluhan tahun. Anda mesti memperbaikinya segera; jika anda tidak boleh memperbaikinya segera, tutup laman web anda dahulu. Lubang ini begitu serius.”
Kirsten Korosec: Saya rasa perkara penting ialah, ramai orang bahkan tidak tahu laman web mereka menggunakan PHP—seperti yang anda sebutkan, ia adalah bahasa pengaturcaraan sumber terbuka yang telah wujud selama beberapa dekad.
Bagi mereka yang tidak tahu, Hypertext Preprocessor ialah nama rasminya; ia sebenarnya merupakan komponen utama di belakang sistem pengurusan kandungan seperti WordPress dan Drupal, yang digunakan oleh kira-kira 70% laman web. Kita sedang bercakap tentang puluhan juta laman web. Bagi saya, kuncinya ialah skala. Ia juga segera mengingatkan saya kepada dua perkara: pertama, ini hanyalah permulaan. Berapa banyak perisian lama yang buruk lagi yang sedang bersembunyi dan akan dimanfaatkan di masa depan?
Perkara kedua ialah 404 Media telah melakukan analisis yang sangat baik mengenai “pelapukan pautan”. Ini kerana ramai individu, syarikat, kerajaan, mungkin juga laman web komuniti kecil, akan menutup laman-laman ini. Akibatnya, kita akan melihat banyak pautan yang rosak, serta beberapa laman web yang sebelumnya menyimpan potongan sejarah menjadi tidak boleh diakses, bukan melalui pembaikan untuk mengekalkannya.
Sean: Anthony, saya rasa anda membawa satu pandangan yang baik. Saya melihat ramai orang tidak puas hati dengan proses pengungkapan ini, dan juga tidak puas hati dengan gaya pernyataan OpenAI yang agak “mempertunjukkan diri” dalam postingan berkaitan.
Selain itu, tampaknya beberapa orang bertindak sebelum larangan ini berlaku, memicu persaingan di kalangan hacker. Saya ingat CEO Cloudflare, Matthew Prince, telah memposting bahawa serangan percubaan terhadap PHP2Shell telah meningkat menjadi jutaan kali.
Cara biasa menangani kelemahan semacam ini dalam keselamatan siber ialah: jika anda sedang melakukan ujian tekanan terhadap perisian suatu syarikat, walaupun ia merupakan perisian yang menyokong banyak komputer berbeza atau sebahagian daripada internet, anda boleh melaporkan masalah tersebut kepada syarikat itu, dan ia pada dasarnya akan dihadkan dalam lingkungan itu sahaja. Tetapi apabila kita membincangkan perkara yang lebih mendalam dan asas seperti ini, anda tidak boleh memberitahu semua orang secara diam-diam.
Maksud saya, mungkin jika AI cukup canggih dan anda boleh mengarahkan miliaran agen untuk menghantar e-mel kepada setiap orang yang mengendalikan bahagian tertentu laman web, ia mungkin boleh dilakukan. Kita sekarang mulai merindui masa-masa ketika pentadbir laman web mudah dikenal pasti, kerana mungkin cara itu sebahagiannya dapat menyelesaikan masalah. Tetapi tidak ada cara mudah sama sekali. Saya rasa ini hanyalah permulaan, dan akan ada banyak perdebatan seterusnya, dan ini jelas merupakan sempadan baharu dalam bidang keselamatan siber.
Kirsten: Post media sosial Matthew Prince menurut saya sangat menggambarkan situasi dan cukup menakutkan. Selain itu, saya tidak tahu sama ada anda semua melihat, Amazon juga telah menerbitkan sebuah blog. Ia adalah syarikat yang mempunyai dana yang sangat banyak, jadi mereka mempunyai alat dan pasukan untuk menangkap apa yang sedang berlaku. Mereka pada dasarnya mengendalikan rangkaian perangkap, atau jebakan, dan mereka benar-benar melihat bahawa seseorang telah cuba memanfaatkannya sebelum lubang keamanan ini diumumkan secara awam.
Bagi saya, ini sekali lagi kembali kepada persoalan yang sama: Amazon mempunyai alat, modal, dan keahlian untuk mengatasi perkara-perkara ini, tetapi masih terdapat begitu banyak laman web, bahkan mungkin termasuk laman web kerajaan, yang tidak mendapat perhatian sebegini. Jadi, saya rasa inilah bahagian yang benar-benar menakutkan.
Selain itu, terdapat beberapa pekerja AI di luar sana yang mungkin akan mendorong perkara ini ke tahap “persiapan akhir zaman” yang lebih tinggi, kerana anda boleh lihat bahawa bank mungkin akan dimanfaatkan, ditambah dengan kebimbangan mengenai data dan privasi, semuanya terasa lebih besar daripada apa yang kita boleh baiki sekarang. Jadi saya sangat ingin melihat dua perkara: pertama, sejauh mana tingkah laku orang akan menjadi ekstrem; kedua, saya juga memikirkan sama ada perkara ini akan mencetuskan beberapa syarikat start-up baru, atau sama ada kita akan beralih kepada penggunaan alat open-source—seperti alat yang disediakan oleh syarikat seperti Nvidia—untuk membina lapisan keselamatan ini.