Bu haftanın başlarında şaşırtıcı bir duyuru yapıldı:开源 programlama dili PHP'de yeni bir güvenlik açığı keşfedildiğinden, web sitesi sahipleri sitelerini hemen düzeltmelidir; hemen güncelleme yapılamazsa, güvenlik nedeniyle siteler geçici olarak kapatılmalıdır.
Bu haftanın TechCrunch Equity podcast'inde, Kirsten Korosec, Sean O’Kane ve ben bu "PHPocalypse" olayının anlamını ve gelecekte benzer olayların daha fazla yaşanıp yaşanmayacağını tartıştık.
Sean, bunun gerçek bir "temizleme anı" olduğunu söyledi ve "internetin iskelet seviyesine inildiğinde" her şeyin "yapıştırıcı ve hayallerle tutturulmuş gibi" göründüğünü vurguladı. Ayrıca, büyük dil modellerinin ve AI ajanlarının yaygın erişilebilir hale gelmesiyle bu açıkların keşfi daha da kolaylaşacaktır. (Ancak bu özel açıklar, AI modelleri değil, insan araştırmacılar tarafından keşfedildi.)
Kirsten, bankaların kullanılabilir olduğunu görebiliyor ve veri ile gizlilik sorunları göz önüne alındığında, bunun şu anda düzeltebileceğimizden çok daha büyük bir şey olduğunu düşünerek, "bir sonraki seviyenin kıyamet hazırlığı duygusuna" girmek üzere olabileceğimiz konusunda endişeli.
Bu, kısaltılmış ve düzeltilmiş diyalogun bir önizlemesidir.
Sean O’Kane: Görünüşe göre bu hafta internet birçok açıdan sorun yaşıyor.
Eğer okuyucu bu konuda henüz aşina değilse, bunu en iyi şekilde şöyle anlayabilirsiniz: Geçtiğimiz 10 yıl içinde, bir şeyin arızalanması veya arızalanmak üzere olması durumunda, sadece boş zamanlarında küçük bir deposunu bakım yapan birinin, kötü niyetli bir olayın gerçekleşmekte olduğunu fark edip internet altyapısının tamamen çökmesini engellediği kaç kez oldu?
Bu senaryoyu bir milyar katına çıkarın: insanlar sadece herkesin kullandığı bu son derece gelişmiş büyük dil modellerine erişemiyor, aynı zamanda görevleri onlara verip, bunların kendi kendine yapmasını sağlıyor; bunlara ek olarak, bu görevleri odaklanarak tamamlayabilen AI ajanlarının ortaya çıkışı.
Bu hafta iki kuvvetin aynı anda gerçekleştiğini gördük. Bir yandan, Google ve OpenAI gibi laboratuvarlar ve şirketler, PHP dahil olmak üzere bir dizi zafiyeti keşfetmek için kişiler gönderdi. Diğer yandan, birçok kişi bu zafiyetleri kullanmaya çalışarak sitelere saldırı yapmaya çalışıyor gibi görünüyor. Bu nedenle hükümet sitelerinin kapatıldığını ve bazı çok popüler sitelerin bu zafiyeti düzeltmek için geçici olarak hizmet dışı bırakıldığını gördük.
Bu gerçek bir temizlik anı, ve internetin birçok kısmının PHP gibi açık kaynak teknolojiler üzerine kurulmasının aşağı doğru riskini göreceğiz. İnternetin en temel düzeyinde, bu, yapıştırıcı ve hayallerle tutturulmuştur.
Anthony Ha: Bu konunun en şaşırtıcı yönlerinden biri — en azından benim anladığım kadarıyla — bu bir yeni açıktan değil. Bu açık, PHP'de on yıllar boyunca var olmuş.
PHP, bir programlama dili olarak birçok web sayfasının oluşturulmasında kullanıldığından, bu zafiyet yıllarca var olmuş ancak önceye kadar kimse bunu bilmiyordu. Olayın tam olarak nasıl gerçekleştiğine gelirsek, bu büyük AI şirketleri—şu anda Google'a ait olan Wiz dahil—LLM'leri kullanarak bu zafiyetleri bulabildi. [Yukarıda belirtildiği gibi, burada yanlış ifade ettim: OpenAI ve Wiz'in "Hack the Planet" etkinliğine katılan insan araştırmacılar bu zafiyetleri keşfettiler, ancak bu hata üzerinde çalışmak için AI kullandılar.]
Bunun bir kısmı, eğer LLM ile bu açıkları bulabiliyorsak, başkalarının da bulabileceğini düşündüğümüz için onları tamir etmek zorunda olduğumuz içindir. Ancak tamiri yaymanın tek yolu, bu açıkları kamuoyuna açıklamaktır. Bu da çok büyük bir panik yaratır: “Peki, bu açığın varlığı on yıllardır sürmektedir. Hemen tamir etmelisiniz; eğer hemen tamir edemiyorsanız, web sitenizi hemen kapatın. Bu açığın ciddiyeti bu kadardır.”
Kirsten Korosec: Önemli bir nokta, birçok kişinin kendi web sitelerinin PHP kullandığını bile bilmiyor olması—tıpkı bahsettiğiniz gibi, bu onlarca yıllık bir açık kaynak programlama dilidir.
Bilmiyorsanız, Hypertext Preprocessor resmi adıdır; aslında WordPress, Drupal gibi içerik yönetim sistemlerinin temelini oluşturur ve bu sistemler yaklaşık %70 web sitesi tarafından kullanılır. Milyonlarca web sitesinden bahsediyoruz. Benim için anahtar nokta ölçeklidir. Aynı zamanda aklıma hemen iki şey gelir: İlk olarak, bu sadece başlangıç. Gelecekte kullanılabilecek, hâlâ gizli durumda olan kaç tane eski ve kötü yazılım var?
İkinci konu, 404 Media'nın yaptığı harika analizde bahsedilen "bağlantı çürümesi". Çünkü birçok kişi, şirket, hükümet ve belki de o küçük topluluk web sitesi, bu siteleri kapatır. Bu da büyük miktarda bağlantının bozulmasına ve tarihsel parçaları taşıyan bazı sitelerin tamir edilerek korunmak yerine erişilemez hale gelmesine neden olur.
Sean: Anthony, senin sunduğun görüş çok iyi. Bu açıklama sürecinden birçok kişinin memnun olmadığını ve OpenAI'nin ilgili gönderideki biraz "gösterişli" ifadelerinden rahatsız olduğunu görüyorum.
Ayrıca, birkaç kişi bu yasaklama döneminden önce harekete geçti ve bu, hacker topluluğunda bir yarışmaya neden oldu. PHP2Shell'e yönelik deneme saldırılarının milyonlarca kez yükseltildiğini Cloudflare CEO'su Matthew Prince'in zaten paylaştığını hatırlıyorum.
Bu tür açıklar, ağ güvenliğinde genellikle şu şekilde ele alınır: Bir şirketin yazılımı üzerinde yük testi yapıyorsanız, hatta bu yazılım birçok farklı bilgisayarın veya internetin bazı bölümlerinin çalışmasını sağlayan temel bir yazılım olsa bile, sorunu ilgili şirkete bildirebilir ve bu durum genellikle o sınırlar içinde kalır. Ancak bu tür derin, temel düzeydeki şeyleri konuşurken, herkesi gizlice bilgilendirmek mümkün değildir.
Demek istediğim, belki de AI yeterince gelişmişse ve her bir web sitesi bölümünü yöneten kişiye milyarlarca ajan göndererek bunu yapmak mümkün olabilir. Şimdi, daha kolay tanımlanabilir web yöneticilerinin dönemini özlemeye başlıyoruz, belki de bu şekilde bir şekilde soruna çözüm bulunabilirdi. Ancak bu konuda hiçbir basit çözüm yok. Bence bu sadece bir başlangıç, bundan sonra çok sayıda geri-andaşma olacak ve bu açıkça siber güvenlik alanının yeni bir sınırı.
Kirsten: Matthew Prince'in sosyal medya gönderisi bana çok açıklayıcı ve oldukça korkutucu geldi. Ayrıca, Amazon'un da bir blog yazısı paylaştığını gördünüz mü? Bu, çok iyi finanse edilmiş bir şirket; bu nedenle yaşananları yakalamak için araçlara ve ekiplere sahip. Temel olarak bir balık yemi ağı veya bir tuzağa sahip ve bu açıklanmadan önce bu açıklığın istismar edilmeye çalışıldığını gözlemlediler.
Benim için bu, yine aynı soruya döner: Amazon'un bunlarla başa çıkmak için araçları, sermayesi ve uzmanlığı var, ancak bu kadar çok web sitesi var, hatta hükümet siteleri bile bu düzeyde dikkat görmüyor. Bu yüzden, bunun gerçekten korkutucu kısmı olduğuna inanıyorum.
Ayrıca dışarıda bazı AI çalışanlar var ve bu olayı daha da yüksek bir “son gün hazırlığı” durumuna taşıyabilir, çünkü bankaların kullanılabileceğini görebiliyorsunuz ve veri ile gizlilik endişeleriyle birlikte, bu durum şu anda düzeltebileceğimizden çok daha büyük gibi görünüyor. Bu yüzden iki şeyi görmek istiyorum: Birincisi, insanların davranışlarının ne kadar uç noktaya ulaşacağı; ikincisi, bu olayın yeni başlangıç şirketlerini mi doğuracağı ya da Nvidia gibi şirketlerin sağladığı açık kaynak araçları kullanarak bu güvenlik katmanlarını mı inşa edeceğiz.