اس هفتے کے آغاز میں، ایک حیرت انگیز اعلان جاری کیا گیا: PHP میں ایک نیا خلل دریافت ہونے کے باعث، ویب سائٹ کے مالکین کو فوری طور پر اپنی ویب سائٹس کو اپ ڈیٹ کرنا ہوگا؛ اگر فوری اپ ڈیٹ ممکن نہ ہو، تو محفوظ رہنے کے لیے ویب سائٹس کو فوری طور پر آف لائن کر دیا جانا چاہیے۔
اس ہفتے کے TechCrunch کے Equity پاڈکس میں، کرسٹن کوروسیک، شین اوکین اور میں نے اس “PHPocalypse” کے معنی اور مستقبل میں مزید ایسے واقعات کے ظہور کے بارے میں بات کی۔
سیان نے اسے اصلی "کلیرنس مومینٹ" کہا، جس نے یہ ظاہر کیا کہ "جب آپ انٹرنیٹ کی ہڈیوں تک جاتے ہیں"، تو سب کچھ "گٹھڑی اور خوابوں پر ٹکا ہوا" لگتا ہے۔ اس نے مزید کہا کہ بڑے زبانی ماڈلز اور AI ایجینٹس کی عام دستیابی کے ساتھ، ان خامیوں کو دریافت کرنا آسان ہوتا جائے گا۔ (تاہم، یہ خاص خامیاں AI ماڈلز کے بجائے انسانی تحقیق کاروں نے دریافت کیں۔)
کرسٹن کو فکر ہے کہ ہم شاید "اگلے سطح کی اپوکلیپس تیاری کے جذبے" میں داخل ہونے والے ہیں [...] کیونکہ آپ دیکھ سکتے ہیں کہ بینکس کا استعمال کیا جا سکتا ہے، اور ڈیٹا اور خصوصیات کے مسائل کو مد نظر رکھتے ہوئے، یہ سب ہمارے موجودہ وقت میں درست کرنے سے زیادہ بڑا لگ رہا ہے۔
یہ ہماری مکالمے کا جائزہ ہے، جس میں کچھ حصے کٹے گئے اور اسے بہتر بنایا گیا ہے۔
شین اوکین： لگتا ہے کہ اس ہفتے انٹرنیٹ کئی طرح سے مسائل کا شکار ہو رہا ہے۔
اگر پڑھنے والے اس بات سے ابھی تک واقف نہیں ہیں، تو میری رائے ہے کہ اسے سمجھنے کا بہترین طریقہ یہ ہے کہ پچھلے 10 سالوں میں ہم نے کتنی بار ایسے لمحات کا تجربہ کیا ہے جب کوئی چیز خراب ہو گئی یا تقریباً خراب ہونے والی تھی، اور کوئی صرف اپنے فراغت کے وقت ایک چھوٹے سے ریپوزٹری کی نگرانی کر رہا تھا، اس نے بالکل وقت پر ایک ناقص نیت والی سرگرمی کا پتہ لگایا اور انٹرنیٹ کی بنیادی ڈھانچہ کو مکمل طور پر تباہ ہونے سے بچا لیا؟
اب اس منظر کو ایک ارب گنا کر دیں: لوگ صرف ان بہت ترقی یافتہ بڑے زبان ماڈل سافٹ ویئرز تک رسائی رکھتے ہیں جن کا استعمال سب کر رہے ہیں، بلکہ وہ ان کو اپنے کام سونپ سکتے ہیں تاکہ وہ خود انہیں کر سکیں؛ اور AI ایجینٹس کے ظہور کے ساتھ، جو ان کاموں کو مکمل کرنے پر توجہ مرکوز کر سکتے ہیں۔
ہم نے اس ہفتے دو طاقتیں ایک ساتھ کام کرتے ہوئے دیکھیں۔ ایک طرف، گوگل اور OpenAI جیسے لیبز اور کمپنیاں حقیقی طور پر ایک سیریز خامیوں کا پتہ لگانے کے لیے لوگ بھیج رہی ہیں، جن میں PHP کی خامی بھی شامل ہے۔ دوسری طرف، بہت سے لوگ ان خامیوں کا فائدہ اٹھانے کی کوشش میں ویب سائٹس پر حملہ کرنے کے لیے جلدی میں ہیں۔ اس لیے ہم نے حکومتی ویب سائٹس کو آف لائن ہوتے دیکھا، اور کچھ بہت مقبول ویب سائٹس نے اس خامی کو درست کرنے کے لیے عارضی طور پر ڈاؤن ہونا پڑا۔
یہ اصل میں کلیرنگ کا وقت ہے، اور ہم دیکھیں گے کہ انٹرنیٹ کے اتنے سے زیادہ حصوں کو PHP جیسی اوپن سورس ٹیکنالوجی پر کیسے بنایا گیا ہے، جس کا نیچے کی طرف کا خطرہ ہے۔ انٹرنیٹ کی سب سے بنیادی سطح پر، یہ صرف گلو اور خوابوں پر ٹکا ہوا ہے۔
اینٹونی ہا: اس بات کے بہت سے حیران کن پہلو ہیں۔ ان میں سے ایک یہ ہے—کم از کم میری سمجھ کے مطابق—یہ کوئی نیا خامی نہیں ہے۔ یہ خامی PHP میں دہائیوں سے موجود ہے۔
PHP ایک پروگرامنگ زبان کے طور پر، بہت سی ویب سائٹس کے تعمیر کے لیے استعمال ہوئی ہے، اس لیے یہ خامی کئی دہائیوں سے موجود تھی، لیکن اب تک کسی کو معلوم نہیں تھا۔ واقعہ یہ ہے کہ ان بڑی AI کمپنیوں—جس میں اب Google کے زیر انتظام Wiz بھی شامل ہے—LLM کا استعمال کرکے ان خامیوں کو تلاش کر سکیں۔[جیسا کہ اوپر بیان کیا گیا، میرا یہاں کہنا غلط تھا: OpenAI اور Wiz کے “Hack the Planet” ایونٹ میں شرکت کرنے والے انسانی محققین نے ان خامیوں کو دریافت کیا، لیکن انہوں نے اس بگ کو استعمال کرنے کے لیے AI کا استعمال کیا۔]
میں سوچتا ہوں کہ اس کا ایک حصہ یہ ہے کہ ہمیں اسے درست کرنا ہوگا، کیونکہ اگر ہم LLM کے ذریعے اس خامی کو تلاش کر سکتے ہیں، تو دوسرے بھی کر سکتے ہیں۔ لیکن ہم اس پچ کو جاری کرنے کا واحد طریقہ یہی ہے کہ ہم اس خامی کو علنی طور پر ظاہر کر دیں۔ اس طرح ایک بہت ہی خوفناک صورتحال پیدا ہو جاتی ہے، جس میں وہ کہتے ہیں: "ٹھیک ہے، یہ خامی کئی دہائیوں سے موجود ہے۔ آپ کو فوراً اسے درست کرنا ہوگا؛ اگر آپ فوراً اسے درست نہیں کر سکتے، تو اپنا ویب سائٹ بند کر دیں۔ یہ خامی اتنی سنگین ہے۔"
کرسٹن کورو سیک: میں کہنا چاہوں گی کہ اہم بات یہ ہے کہ بہت سے لوگوں کو یہ نہیں معلوم کہ ان کی ویب سائٹ پر PHP استعمال ہو رہا ہے — جیسا کہ آپ نے اشارہ کیا، یہ ایک کئی دہائیوں پرانی اوپن سورس پروگرامنگ زبان ہے۔
جس کے لیے غیر مطلع لوگ، ہائپرٹیکسٹ پری پروسیسر اس کا اصل نام ہے؛ یہ دراصل ورڈپریس، ڈرupal جیسے مواد مینجمنٹ سسٹمز کا مرکزی حصہ ہے، جن کا استعمال تقریباً 70 فیصد ویب سائٹس کرتی ہیں۔ ہم کروڑوں ویب سائٹس کے بارے میں بات کر رہے ہیں۔ میرے لیے، اس کا اہم پہلو سائز ہے۔ یہ مجھے فوراً دو چیزوں کی طرف لے جاتا ہے: پہلا، یہ صرف شروعات ہے۔ اب تک کتنے پرانے، خراب سافٹ ویئر اب بھی چھپے ہوئے ہیں جن کا مستقبل میں استعمال کیا جائے گا؟
دوسرا نقطہ یہ ہے کہ 404 Media نے ایک بہترین تجزیہ کیا ہے جس میں "لنک فاسد ہونا" کا ذکر کیا گیا ہے۔ کیونکہ بہت سے لوگ، کمپنیاں، حکومتیں، اور شاید وہ چھوٹا سا کمیونٹی ویب سائٹ بھی ان ویب سائٹس کو بند کر دیتی ہیں۔ اس سے ہم دیکھیں گے کہ بہت سے لنکس فاسد ہو چکے ہیں، اور کچھ ویب سائٹس جو تاریخی لمحات کو برقرار رکھتی تھیں، اب قابل رسائی نہیں رہیں، اور انہیں بحال کرنے کے بجائے۔
شین: انتھونی، میں سمجھتا ہوں کہ آپ نے ایک بہت اچھا نقطہ پیش کیا ہے۔ میں نے دیکھا ہے کہ بہت سے لوگ اس اطلاع دہی کے عمل سے ناراض ہیں اور OpenAI کی متعلقہ پوسٹ میں اس "دکھاوٹی" انداز سے بھی ناراض ہیں۔
اس کے علاوہ، کچھ لوگوں نے اس اشاعت کے پابندی کے دوران سے پہلے اقدام کیا، جس سے ہیکرز کے درمیان مقابلہ شروع ہو گیا۔ مجھے یاد ہے کہ کلاؤڈفلیر کے سی ای او میتھیو پرنس نے پوسٹ کیا تھا کہ PHP2Shell کے خلاف تجرباتی حملوں کی تعداد ملینوں تک پہنچ چکی ہے۔
سائبر سیکیورٹی میں اس قسم کے خامیوں کا عام طریقہ یہ ہے کہ اگر آپ کسی کمپنی کے سافٹ ویئر پر دباؤ ٹیسٹ کر رہے ہیں، تو چاہے وہ کئی مختلف کمپیوٹرز یا انٹرنیٹ کے کچھ حصوں کو چلانے والے بنیادی سافٹ ویئر ہو، آپ مسئلہ اس کمپنی کو رپورٹ کر سکتے ہیں، اور اسے بنیادی طور پر اسی حد تک محدود رکھا جاتا ہے۔ لیکن جب ہم اس قسم کے گہرے، بنیادی چیزوں کی بات کرتے ہیں، تو آپ سب کو چپکے سے نہیں آگاہ کر سکتے۔
میرا مطلب یہ ہے کہ شاید اگر AI کافی ترقی یافتہ ہو جائے اور آپ ایک ارب ایجنٹس کو ہدایت دے سکیں کہ ہر ویب سائٹ کے حصے کے مالک کو ای میل بھیجیں، تو شاید یہ ممکن ہو جائے۔ ہم اب اس وقت کی تلاش کر رہے ہیں جب ویب ایڈمنز کو آسانی سے پہچاننا ممکن تھا، شاید اس طرح کچھ حد تک مسئلہ حل ہو جاتا۔ لیکن اس کا کوئی آسان حل نہیں ہے۔ میرا خیال ہے کہ یہ صرف شروعات ہے، اور آگے بہت سارے ادھر اودھر کے حرکات ہونے والے ہیں، اور یہ واضح طور پر سائبر سیکورٹی کا ایک نیا سرحدی شعبہ ہے۔
کرسٹن: میتھیو پرنس کا سوشل میڈیا پوسٹ میرے لیے بہت واضح اور کافی خوفناک لگ رہا ہے۔ اس کے علاوہ، مجھے نہیں معلوم کہ آپ نے دیکھا ہے یا نہیں، ایمیزون نے بھی ایک بلاگ شائع کیا ہے۔ یہ ایک بہت زیادہ فنڈڈ کمپنی ہے، اس لیے ان کے پاس واقعات کو پکڑنے کے لیے ٹولز اور ٹیمیں موجود ہیں۔ وہ تقریباً ایک میٹھا گھر نیٹ ورک، یا ایک جال چلا رہے ہیں، اور انہوں نے درحقیقت دیکھا کہ اس خامی کے علنی طور پر اعلان سے پہلے ہی کسی نے اس کا استعمال کرنے کی کوشش کر دی تھی۔
میرے لیے، یہ دوبارہ ایک ہی سوال پر واپس آ جاتا ہے: ایمیزون کے پاس ان معاملات کا مقابلہ کرنے کے لیے ٹولز، سرمایہ اور ماہرین کی دستیابی ہے، لیکن اتنے سائٹس ہیں، اور شاید حکومتی ویب سائٹس بھی جن کو اس سطح کی توجہ نہیں مل رہی۔ اس لیے میرے خیال میں، یہی حقیقی خوفناک پہلو ہے۔
اور باہر کچھ AI ملازمین بھی ہیں جو اس معاملے کو ایک اور بلند تر “اینڈ ٹائم پریپریشن” کی سطح تک لے جا سکتے ہیں، کیونکہ آپ دیکھ سکتے ہیں کہ بینکس کا استعمال کیا جا سکتا ہے، اور ڈیٹا اور خصوصیات کے مسائل کے ساتھ، یہ سب اس سے زیادہ بڑا لگ رہا ہے جسے ہم اب تک درست کر سکتے ہیں۔ اس لیے میں دو چیزوں کو دیکھنا چاہتا ہوں: پہلا، لوگوں کا رویہ کتنے انتہائی ہو جائے گا؛ دوسرا، مجھے یہ بھی سوچ رہا ہوں کہ کیا اس سے نئی اسٹارٹ اپ کمپنیاں پیدا ہوں گی، یا کیا ہم Nvidia جیسی کمپنیوں کے فراہم کردہ کھلے ذرائع کے ٹولز کا استعمال کرتے ہوئے ان سیکورٹی لیئرز کو تعمیر کرنے کی طرف منتقل ہو جائیں گے۔