Vào đầu tuần này, một thông báo gây sốc đã được công bố: do phát hiện lỗ hổng mới trong ngôn ngữ lập trình mã nguồn mở PHP, chủ trang web phải vá ngay lập tức; nếu không thể cập nhật ngay, để đảm bảo an toàn, nên tạm thời tắt trang web.
Trong tập podcast Equity của TechCrunch tuần này, Kirsten Korosec, Sean O’Kane và tôi đã thảo luận về ý nghĩa của sự kiện “PHPocalypse” này và liệu có còn xuất hiện thêm nhiều sự kiện tương tự trong tương lai hay không.
Sean gọi đây là thời điểm “thanhtoán thực sự”, làm nổi bật rằng “khi bạn đi sâu vào cấu trúc cốt lõi của internet”, mọi thứ đều trông giống như “được gắn kết bởi keo dán và những giấc mơ”. Ông còn cho biết, với sự phổ biến rộng rãi của các mô hình ngôn ngữ lớn và đại lý AI, việc phát hiện những lỗ hổng này sẽ chỉ trở nên dễ dàng hơn. (Tuy nhiên, những lỗ hổng cụ thể này đã được các nhà nghiên cứu con người phát hiện, chứ không phải bởi các mô hình AI.)
Kirsten lo ngại rằng chúng ta có thể đang bước vào tâm lý chuẩn bị tận thế ở cấp độ tiếp theo[…] vì bạn có thể thấy rằng các ngân hàng có thể bị lợi dụng, và xét đến các vấn đề về dữ liệu và quyền riêng tư, mọi thứ này dường như lớn hơn nhiều so với những gì chúng ta có thể khắc phục hiện tại.
Dưới đây là bản xem trước đoạn hội thoại này, đã được lược bỏ và chỉnh sửa.
Sean O’Kane: Có vẻ như tuần này, internet đang gặp vấn đề ở nhiều khía cạnh.
Nếu độc giả chưa quen thuộc với vấn đề này, tôi cho rằng cách hiểu tốt nhất là: trong 10 năm qua, chúng ta đã bao nhiêu lần gặp phải khoảnh khắc như vậy—một thứ gì đó bị lỗi hoặc sắp bị lỗi, và một người chỉ duy trì một kho nhỏ trong thời gian rảnh rỗi vô tình phát hiện ra những hành vi ác ý đang diễn ra và ngăn chặn được sự sụp đổ hoàn toàn của hạ tầng internet?
Bây giờ hãy nhân cảnh này lên một tỷ lần: mọi người không chỉ có thể tiếp cận những phần mềm mô hình ngôn ngữ lớn tiên tiến mà ai cũng đang sử dụng, mà còn có thể giao nhiệm vụ cho chúng để chúng tự thực hiện; cộng thêm sự xuất hiện của các đại lý AI, những đại lý này có thể tập trung hoàn thành những việc này.
Tuần này, chúng ta chứng kiến hai lực lượng xảy ra đồng thời. Một mặt, các phòng thí nghiệm và công ty như Google và OpenAI đã cử người đi phát hiện một loạt lỗ hổng, trong đó có lỗ hổng PHP. Mặt khác, cũng có rất nhiều người dường như đang tranh nhau khai thác những lỗ hổng này để xâm nhập vào các trang web. Vì vậy, chúng ta thấy các trang web chính phủ bị tắt, cũng như một số trang web rất phổ biến tạm thời ngừng hoạt động để vá lỗ hổng này.
Đây là thời điểm thanh lý thực sự, và chúng ta sẽ thấy rủi ro giảm giá khi rất nhiều bộ phận của internet được xây dựng dựa trên các công nghệ mã nguồn mở như PHP. Ở tầng sâu nhất của internet, nó chỉ được gắn kết bởi keo dán và những giấc mơ.
Anthony Ha: Có rất nhiều điều đáng kinh ngạc về sự việc này. Một trong số đó là—ít nhất theo hiểu biết của tôi—đây không phải là một lỗ hổng mới. Lỗ hổng này đã tồn tại trong PHP suốt vài chục năm.
PHP là một ngôn ngữ lập trình được sử dụng để xây dựng rất nhiều trang web, do đó lỗ hổng này đã tồn tại trong vài thập kỷ, nhưng trước đây không ai biết. Về cơ bản, những công ty AI lớn này — bao gồm cả Wiz hiện thuộc sở hữu của Google — đã có thể sử dụng LLM để tìm ra các lỗ hổng này. [Như đã nêu ở trên, tôi đã nói sai: các nhà nghiên cứu con người tham gia vào hoạt động “Hack the Planet” của OpenAI và Wiz đã phát hiện ra các lỗ hổng này, tuy nhiên họ đã sử dụng AI để khai thác lỗ hổng này.]
Một phần trong những cân nhắc của chúng tôi là chúng tôi phải vá nó, vì nếu chúng tôi có thể dùng LLM để tìm ra lỗ hổng này, thì người khác cũng có thể. Nhưng cách duy nhất để chúng tôi có thể đưa ra bản vá là công khai lỗ hổng này. Do đó, điều này tạo ra một tình huống cực kỳ hoảng loạn, khiến họ nói: “Được rồi, lỗ hổng này đã tồn tại hàng chục năm. Bạn phải vá ngay lập tức; nếu bạn không thể vá ngay, thì hãy tắt trang web của bạn ngay. Lỗ hổng này nghiêm trọng đến mức đó.”
Kirsten Korosec: Tôi cho rằng điều quan trọng là nhiều người thậm chí không biết trang web của họ sử dụng PHP—như bạn đã đề cập, đây là một ngôn ngữ lập trình mã nguồn mở đã có hàng chục năm tuổi.
Đối với những người không hiểu, Hypertext Preprocessor là tên chính thức của nó; thực tế, đây là thành phần cốt lõi đằng sau các hệ thống quản lý nội dung như WordPress, Drupal, mà những hệ thống này được khoảng 70% các trang web sử dụng. Chúng ta đang nói đến hàng chục triệu trang web. Đối với tôi, điều quan trọng nằm ở quy mô. Nó cũng khiến tôi lập tức nghĩ đến hai điều: thứ nhất, đây mới chỉ là khởi đầu. Còn bao nhiêu phần mềm lỗi thời, kém chất lượng đang ẩn nấp và sẽ bị khai thác trong tương lai?
Việc thứ hai là 404 Media đã có một phân tích rất hay về “sự thoái hóa liên kết”. Vì nhiều người, công ty, chính phủ, có thể cả trang web cộng đồng nhỏ, đều sẽ tắt các trang web này. Do đó, chúng ta sẽ thấy rất nhiều liên kết bị hỏng, và một số trang web từng lưu giữ những mảnh ghép lịch sử nay không còn truy cập được nữa, thay vì được bảo tồn thông qua việc sửa chữa.
Sean: Anthony, tôi nghĩ bạn đã đưa ra một quan điểm rất hay. Tôi thấy nhiều người không hài lòng với quy trình tiết lộ này và cũng không hài lòng với cách OpenAI trình bày trong bài đăng liên quan, có vẻ hơi “khoe khoang”.
Ngoài ra, dường như có một số người đã hành động trước thời gian cấm vận của đợt phát hành này, gây ra một cuộc cạnh tranh trong cộng đồng hacker. Tôi nhớ rằng CEO của Cloudflare, Matthew Prince, đã đăng bài cho biết các cuộc tấn công thử nghiệm nhắm vào PHP2Shell đã tăng lên hàng triệu lần.
Cách xử lý phổ biến đối với các lỗ hổng này trong an ninh mạng là: nếu bạn đang thực hiện kiểm tra áp lực cho phần mềm của một công ty, ngay cả khi đó là phần mềm nền tảng hỗ trợ nhiều máy tính hoặc một số bộ phận của internet, bạn vẫn có thể báo cáo vấn đề cho công ty đó, và vấn đề sẽ bị giới hạn trong phạm vi đó. Nhưng khi chúng ta nói đến những thứ sâu sắc và nền tảng như thế này, bạn không thể thông báo một cách kín đáo cho tất cả mọi người.
Ý tôi là, có lẽ nếu AI đủ tiên tiến và bạn có thể điều khiển một tỷ đại lý gửi email đến từng người quản lý một phần trang web, thì điều đó mới có thể thực hiện được. Bây giờ chúng ta bắt đầu nhớ về những thời điểm mà quản trị viên trang web dễ nhận biết, có lẽ lúc đó phần nào đó sẽ giải quyết được vấn đề. Nhưng hoàn toàn không có cách đơn giản nào cả. Tôi nghĩ, đây mới chỉ là khởi đầu, và sẽ có rất nhiều sự tranh cãi kéo dài, rõ ràng đây là một ranh giới mới trong lĩnh vực an ninh mạng.
Kirsten: Bài đăng trên mạng xã hội của Matthew Prince đối với tôi trông rất đáng chú ý và khá đáng sợ. Ngoài ra, tôi không biết các bạn có thấy không, Amazon cũng đã đăng một bài blog. Đó là một công ty có nguồn vốn rất dồi dào, nên họ có công cụ và đội ngũ để phát hiện những gì đang xảy ra. Họ cơ bản đang vận hành một mạng lưới bẫy hoặc một cái bả, và họ thực sự nhận thấy rằng đã có người cố gắng khai thác lỗ hổng này trước khi nó được công bố chính thức.
Đối với tôi, điều này một lần nữa quay trở lại cùng một vấn đề: Amazon có công cụ, vốn và chuyên môn để xử lý những việc này, nhưng vẫn còn rất nhiều trang web, thậm chí có thể bao gồm cả các trang web chính phủ, hoàn toàn không có mức độ quan tâm như vậy. Vì vậy, tôi nghĩ, đây mới là phần thực sự đáng sợ.
Hơn nữa, còn có một số nhân viên AI bên ngoài có thể đẩy sự việc lên mức “chuẩn bị ngày tận thế” cao hơn, vì bạn có thể thấy ngân hàng có thể bị lợi dụng, cộng thêm những lo ngại về dữ liệu và quyền riêng tư, tất cả những điều này dường như lớn hơn nhiều so với những gì chúng ta có thể khắc phục hiện tại. Vì vậy, tôi rất muốn xem hai điều: thứ nhất, hành vi của con người sẽ trở nên cực đoan đến mức nào; thứ hai, tôi cũng đang nghĩ liệu sự việc này có sẽ thúc đẩy sự ra đời của một số công ty khởi nghiệp mới, hay chúng ta sẽ chuyển sang sử dụng một số công cụ mã nguồn mở—như các công cụ do các công ty như Nvidia cung cấp—để xây dựng các lớp bảo mật này.