В начале этой недели было опубликовано шокирующее объявление: владельцы веб-сайтов должны немедленно исправить свои сайты из-за обнаружения новой уязвимости в языке программирования с открытым исходным кодом PHP; если немедленное обновление невозможно, для обеспечения безопасности сайты следует временно отключить.
В этом выпуске подкаста TechCrunch Equity Кирстен Коросек, Шон О’Кейн и я обсудили значение этого «PHPocalypse» и то, будут ли в будущем происходить еще подобные события.
Сиан назвал это настоящим «моментом ликвидации», который подчеркивает, что «когда вы углубляетесь в кости интернета», всё выглядит как будто «удерживается на клее и мечтах». Он также отметил, что с широкой доступностью больших языковых моделей и ИИ-агентов обнаружение этих уязвимостей станет только проще. (Однако эти конкретные уязвимости были обнаружены человеческими исследователями, а не ИИ-моделями.)
Кирстен беспокоится, что мы можем вступить в «следующий уровень апокалиптической готовности[…] ведь видно, что банки могут быть использованы, и с учетом вопросов данных и конфиденциальности все это кажется масштабнее того, что мы сейчас можем исправить».
Ниже приведен наш обзор этого диалога, отредактированный и оформленный.
Шон О’Кейн: Кажется, на этой неделе интернет во многих аспектах испытывает проблемы.
Если читатель еще не очень хорошо знаком с этим вопросом, я считаю, что лучший способ понять это — задать себе вопрос: сколько раз за последние 10 лет мы сталкивались с моментами, когда что-то выходило из строя или едва не выходило из строя, и кто-то, просто поддерживающий небольшой репозиторий в свободное время, случайно обнаруживал, что происходит злонамеренное действие, и предотвращал полный крах интернет-инфраструктуры?
Умножьте эту сцену на миллиард: люди не только получают доступ к этим чрезвычайно продвинутым языковым моделям, которыми все пользуются, но и могут поручать им задачи, чтобы они выполняли их самостоятельно; плюс появление AI-агентов, которые могут сосредоточенно выполнять эти задачи.
На этой неделе мы наблюдали одновременное проявление двух сил. С одной стороны, лаборатории и компании, такие как Google и OpenAI, действительно направили специалистов для обнаружения ряда уязвимостей, включая уязвимость в PHP. С другой стороны, многие люди, похоже, спешат воспользоваться этими уязвимостями, пытаясь взломать веб-сайты. Поэтому мы видели, как государственные сайты отключались, а некоторые очень популярные сайты временно прекращали работу для устранения этой уязвимости.
Это настоящий момент ликвидации, и мы увидим нижний риск, связанный с тем, что столько частей интернета построены на таких открытых технологиях, как PHP. На самом базовом уровне интернет держится на клее и мечтах.
Энтони Ха: Есть много удивительных аспектов в этом деле. Один из них — по крайней мере, насколько я понимаю — это не новая уязвимость. Эта уязвимость существует в PHP уже десятилетия.
PHP как язык программирования использовался для создания множества веб-сайтов, поэтому эта уязвимость существовала уже десятилетия, но раньше никто об этом не знал. Суть в том, что эти крупные компании ИИ — включая Wiz, теперь принадлежащую Google — смогли использовать ИИ для обнаружения этих уязвимостей. [Как уже упоминалось выше, я ошибся: эти уязвимости были обнаружены человеческими исследователями, участвовавшими в акции OpenAI и Wiz «Hack the Planet», однако они использовали ИИ для эксплуатации этой ошибки.]
Частью соображений было то, что мы должны устранить эту уязвимость, потому что если мы с помощью LLM смогли её обнаружить, то и другие тоже могут. Единственный способ опубликовать исправление — это раскрыть саму уязвимость. Это создало крайне паническую ситуацию: «Ну что ж, эта уязвимость существует уже десятилетия. Вы должны немедленно её исправить; если не можете исправить сразу — закройте свой сайт. Уязвимость настолько серьёзна».
Кирстен Коросек: Я считаю важным, что многие даже не знают, что их веб-сайт использует PHP — как вы упомянули, это открытый язык программирования, существующий уже десятилетия.
Для тех, кто не в курсе, Hypertext Preprocessor — это его официальное название; на самом деле он является ключевым компонентом систем управления контентом, таких как WordPress и Drupal, которыми пользуется около 70% веб-сайтов. Речь идет о десятках миллионов сайтов. Для меня ключевым моментом является масштаб. Это также сразу наводит меня на две мысли: во-первых, это только начало. Сколько еще устаревшего плохого программного обеспечения скрывается где-то и будет использовано в будущем?
Второй момент — 404 Media провела отличный анализ, в котором упоминается «разложение ссылок». Многие люди, компании, правительства, возможно, даже небольшие сообщественные веб-сайты закрывают свои сайты. В результате мы наблюдаем огромное количество неверных ссылок и утрату доступа к веб-сайтам, которые раньше хранили фрагменты истории, вместо того чтобы сохранять их путем ремонта.
Шон: Энтони, я считаю, что ты поднял отличный вопрос. Я вижу, что многие недовольны этим процессом раскрытия информации, а также раздражены несколько «показушным» тоном, использованным OpenAI в соответствующем посте.
Кроме того, кажется, несколько человек успели действовать до введения запрета на этот выпуск, что спровоцировало соревнование в хакерском сообществе. Я помню, что генеральный директор Cloudflare Мэттью Принс уже опубликовал сообщение о том, что попытки атак на PHP2Shell уже выросли до нескольких миллионов.
Обычный подход к устранению таких уязвимостей в кибербезопасности заключается в следующем: если вы проводите стресс-тестирование программного обеспечения какой-либо компании, даже если это программное обеспечение лежит в основе работы многих различных компьютеров или частей интернета, вы можете сообщить о проблеме этой компании, и тогда она останется в пределах этого диапазона. Но когда речь идет о таких глубоких и фундаментальных вещах, вы не можете тайно уведомить всех.
Я имею в виду, что, возможно, если ИИ будет достаточно продвинутым, и вы сможете направить миллиард агентов, чтобы отправить письма каждому, кто управляет определённой частью сайта, это могло бы сработать. Сейчас мы начинаем ностальгировать по времёнам, когда веб-администраторов было легко идентифицировать — возможно, это в какой-то степени помогло бы решить проблему. Но здесь нет простого решения. Я считаю, что это только начало, и впереди будет много споров и компромиссов, и это явно новая граница в области кибербезопасности.
Кирстен: Сообщение Мэттью Принса в социальных сетях, на мой взгляд, очень показательно и довольно страшно. Кроме того, не знаю, заметили ли вы, но Amazon также опубликовала блог. Это компания с огромным финансированием, поэтому у них есть инструменты и команда, чтобы отслеживать происходящее. Они фактически запустили сеть медвежатников или приманок и действительно зафиксировали попытки эксплуатации этой уязвимости еще до ее официального объявления.
Для меня это снова сводится к одной и той же проблеме: у Amazon есть инструменты, капитал и экспертиза, чтобы справляться с такими вещами, но существует так много веб-сайтов, возможно, включая правительственные сайты, которые вообще не имеют такого уровня внимания. Поэтому я считаю, что именно это и есть по-настоящему пугающая часть.
Кроме того, за пределами есть некоторые AI-сотрудники, которые могут довести эту ситуацию до более высокого уровня «подготовки к апокалипсису», поскольку можно увидеть, что банки могут быть использованы, плюс опасения по поводу данных и конфиденциальности — всё это кажется гораздо больше, чем то, что мы можем сейчас исправить. Поэтому мне очень интересно посмотреть на два момента: во-первых, насколько экстремальными станут действия людей; во-вторых, не приведет ли это к появлению новых стартапов или мы не перейдем на использование некоторых открытых инструментов — например, инструментов от таких компаний, как Nvidia — для создания этих уровней безопасности.