No início desta semana, foi emitido um anúncio chocante: devido à descoberta de uma nova vulnerabilidade na linguagem de programação de código aberto PHP, os proprietários de sites devem corrigir imediatamente seus sites; se não for possível atualizar imediatamente, os sites devem ser desativados por segurança.
No episódio desta semana do podcast Equity da TechCrunch, Kirsten Korosec, Sean O’Kane e eu discutimos o significado deste “PHPocalypse” e se mais eventos semelhantes ocorrerão no futuro.
Sean chamou isso de verdadeiro "momento de liquidação", destacando que "quando você vai até os ossos da internet", tudo parece estar "mantido por cola e sonhos". Ele também afirmou que, com a ampla disponibilidade de grandes modelos de linguagem e agentes de IA, descobrir essas vulnerabilidades só se tornará mais fácil. (No entanto, essas vulnerabilidades específicas foram descobertas por pesquisadores humanos, e não por modelos de IA.)
Kirsten expressou preocupação de que possamos estar prestes a entrar em um "nível mais profundo de emoção de preparação para o fim do mundo[…] porque é possível ver que os bancos podem ser explorados, e, considerando os problemas de dados e privacidade, tudo isso parece maior do que o que podemos consertar agora."
Aqui está uma prévia desta conversa, com conteúdo cortado e revisado.
Sean O’Kane: Parece que a internet está tendo problemas em muitos aspectos esta semana.
Se o leitor ainda não estiver muito familiarizado com isso, acho que a melhor maneira de entender é: nos últimos 10 anos, quantas vezes já enfrentamos momentos assim — algo falhou, ou quase falhou, e alguém que apenas mantinha, em seu tempo livre, um pequeno repositório, acabou descobrindo que algo malicioso estava acontecendo e impediu o colapso total da infraestrutura da internet?
Agora multiplique esse cenário por um bilhão: as pessoas não apenas têm acesso a esses modelos de linguagem de grande porte, extremamente avançados, amplamente utilizados, mas também podem atribuir tarefas a eles para que os realizem sozinhos; somado à chegada dos agentes de IA, capazes de se concentrar plenamente na execução dessas tarefas.
Esta semana, observamos duas forças ocorrendo simultaneamente. Por um lado, laboratórios e empresas como o Google e o OpenAI realmente enviaram equipes para descobrir uma série de vulnerabilidades, incluindo a vulnerabilidade no PHP. Por outro lado, muitas pessoas parecem estar se apressando para explorar essas vulnerabilidades e tentar invadir sites. Assim, vimos sites governamentais sendo desativados e alguns sites muito populares temporariamente fora do ar para corrigir essa vulnerabilidade.
Este é verdadeiramente o momento da liquidação, e veremos o risco de queda de ter construído tantas partes da internet sobre tecnologias open source como o PHP. Na camada mais básica da internet, ela é mantida por cola e sonhos.
Anthony Ha: Há muitas coisas surpreendentes sobre isso. Uma delas é — pelo menos conforme entendo — que isso não é uma nova vulnerabilidade. Essa vulnerabilidade existe no PHP há décadas.
PHP, como uma linguagem de programação, foi usada para construir inúmeros sites, então essa vulnerabilidade já existia há décadas, mas ninguém sabia antes. O que aconteceu foi basicamente que essas grandes empresas de IA — incluindo a Wiz, agora propriedade do Google — conseguiram utilizar LLMs para encontrar essas vulnerabilidades. [Como mencionado acima, cometi um erro aqui: pesquisadores humanos envolvidos na atividade “Hack the Planet” da OpenAI e da Wiz descobriram essas vulnerabilidades, embora tenham utilizado IA para explorar esse bug.]
Acho que parte do raciocínio é que precisamos consertá-lo, porque se conseguimos encontrar essa vulnerabilidade com um LLM, outras pessoas também podem. Mas a única maneira de podermos lançar o patch é tornar essa vulnerabilidade pública. Isso cria uma situação de pânico, em que dizem: “Bem, essa vulnerabilidade existe há décadas. Vocês precisam consertar imediatamente; se não conseguirem consertar imediatamente, desliguem seu site. A vulnerabilidade é tão grave assim.”
Kirsten Korosec: Acho que um ponto importante é que muitas pessoas nem sabem que seus sites usam PHP — como você mencionou, é uma linguagem de programação de código aberto com décadas de história.
Para quem não sabe, Hypertext Preprocessor é seu nome oficial; na verdade, é o componente central por trás de sistemas de gerenciamento de conteúdo como WordPress e Drupal, usados por cerca de 70% dos sites. Estamos falando de dezenas de milhões de sites. Para mim, o ponto-chave é a escala. Isso também me faz pensar imediatamente em duas coisas: primeiro, isso é apenas o começo. Quantos outros softwares antigos e ruins ainda estão escondidos, aguardando para serem explorados no futuro?
A segunda coisa é que a 404 Media fez uma ótima análise sobre o que chama de “degradação de links”. Muitas pessoas, empresas, governos e talvez até aquele pequeno site comunitário acabam desativando esses sites. Assim, vemos uma grande quantidade de links quebrados e alguns sites que antes continham fragmentos históricos tornam-se inacessíveis, em vez de serem preservados por meio de correções.
Sean: Anthony, acho que você levantou um ponto muito bom. Vejo que muitas pessoas não estão satisfeitas com este processo de divulgação e também com a abordagem um pouco “exibicionista” da OpenAI nas postagens relacionadas.
Além disso, parece que várias pessoas agiram antes do período de embargo deste lançamento, desencadeando uma corrida no círculo de hackers. Lembro-me de que o CEO da Cloudflare, Matthew Prince, já postou que as tentativas de ataque ao PHP2Shell aumentaram para milhões.
A abordagem comum para esse tipo de vulnerabilidade na segurança cibernética é: se você estiver realizando um teste de estresse em um software de uma empresa, mesmo que seja um software fundamental para o funcionamento de muitos computadores diferentes ou partes da internet, você pode relatar o problema à empresa, e ele geralmente permanece limitado a esse contexto. Mas quando falamos de algo tão profundo e fundamental como isso, não é possível notificar discretamente todas as partes envolvidas.
Quero dizer que talvez, se a IA fosse suficientemente avançada e você pudesse enviar e-mails para bilhões de agentes, cada um responsável por uma parte de um site, isso pudesse ser feito. Agora estamos começando a sentir saudades dos tempos em que os administradores de sites eram fáceis de identificar, o que talvez resolvesse o problema de alguma forma. Mas não há nenhuma solução simples aqui. Acho que isso é apenas o começo, e haverá muitos avanços e recuos no futuro, e isso claramente representa uma nova fronteira no campo da segurança cibernética.
Kirsten: A post de Matthew Prince nas redes sociais me parece muito esclarecedor e bastante assustador. Além disso, não sei se vocês viram, mas a Amazon também publicou um blog. É uma empresa com muito capital, então eles têm as ferramentas e a equipe para capturar o que está acontecendo. Eles basicamente operam uma rede de honey pot, ou uma isca, e realmente observaram que alguém já estava tentando explorar essa vulnerabilidade antes de ela ser divulgada publicamente.
Para mim, isso volta novamente à mesma questão: a Amazon tem ferramentas, capital e expertise para lidar com essas coisas, mas há tantos outros sites, e talvez até sites governamentais, que não têm esse nível de atenção. Então, acho que essa é a parte realmente assustadora.
E há ainda alguns funcionários de IA externos que podem empurrar esse caso para um nível superior de “preparação para o apocalipse”, pois é possível ver que os bancos podem ser explorados, somado às preocupações com dados e privacidade — tudo isso parece muito maior do que o que podemos consertar agora. Por isso, estou muito interessado em observar duas coisas: primeiro, até onde os comportamentos das pessoas se tornarão extremos; e segundo, se isso não vai impulsionar o surgimento de novas startups ou se vamos passar a utilizar ferramentas de código aberto — como as fornecidas por empresas como a Nvidia — para construir essas camadas de segurança.