Кибербезопасность и ИИ: нейросеть нашла в PHP две дыры, угрожавшие 70% сайтов

Под ударом оказались сайты по всему миру. Часть организаций, по данным TechCrunch, отключала свои ресурсы до выхода исправлений. Томер Шварц, технический директор направления управления рисками и защиты приложений в Wiz (компания принадлежит Google), рассказал в подкасте Equity, что без ИИ эти ошибки бы не нашли.

Что измеряли?

Строго говоря, это не лабораторное исследование, а рассказ участников реальной истории. Вопрос простой: способен ли ИИ найти дыры в коде, который годами считали надёжным? PHP, язык программирования для сайтов, существует давно, и на нём работает большинство блогов, интернет-магазинов и корпоративных страниц.

Уязвимость, это ошибка в программе, через которую злоумышленник может проникнуть в систему. Представьте замок, который десять лет висит на двери, и никто не замечал, что его открывает любая шпилька.

По словам Шварца, Wiz собрала собственные ИИ-инструменты, и за одни выходные они проверили десятки идей, где может прятаться ошибка. Человеку на такой перебор понадобились бы недели. Над исправлением работали вместе с OpenAI, исследовательской группой Calif и разработчиками самого PHP. Какие именно модели использовали, в источнике не сказано.

Что обнаружили?

Ключевые выводы из разговора в подкасте Equity:

• Найдено 2 критические уязвимости в языке, на котором держится около 70% сайтов.
• Одна из ошибок пролежала на виду больше 10 лет. По словам участников, со временем что-то изменилось, и её стало возможно использовать для атаки. Что именно, в текстовом анонсе не раскрыто.
• ИИ-инструменты Wiz проверили десятки гипотез за одни выходные. Шварц прямо говорит, что без ИИ компания эти ошибки бы не нашла.
• Утечки почти неизбежны при скоординированном раскрытии (когда исследователи сначала тихо сообщают разработчикам об ошибке и ждут исправления, а потом объявляют публично). Wiz заранее закладывала это в план.
• Ручное исправление, по мнению Шварца, не масштабируется: если ИИ находит ошибки быстрее, людям не успеть закрывать их вручную.

Обратите внимание на расклад сил: компания по безопасности и разработчик ИИ работали на одной стороне. Тот же инструмент, что помогает защитникам, доступен и атакующим, поэтому исследователи и называют случившееся «только началом».

Вопрос, стоит ли волноваться владельцам сайтов на WordPress, в подкасте обсуждают, но ответа в опубликованном тексте нет. Роль OpenAI в поиске ошибок тоже не детализирована. Поэтому конкретные советы ниже, это общая гигиена, а не инструкция под эти две уязвимости.

Что это значит для вас?

Волна находок в стареющем коде касается любого, у кого есть сайт, даже если это одна страница на дешёвом хостинге. Вот что делать по ролям.

Владельцу сайта на WordPress. WordPress работает на PHP, значит, вопрос касается вас напрямую. Зайдите в админку, раздел «Инструменты», пункт «Здоровье сайта»: там видна версия PHP и предупреждения об устаревших компонентах.

Предпринимателю с сайтом на хостинге. Срочная отладка своими силами малому бизнесу обычно не нужна: PHP обновляет хостинг. Напишите в поддержку один вопрос: установлены ли последние исправления PHP на вашем тарифе. Перед любыми обновлениями сделайте резервную копию сайта.

Маркетологу. Отключённый сайт, это потерянные заявки и реклама в пустоту. Если хостинг или подрядчик планирует обновление, согласуйте время и поставьте рекламные кампании на паузу на этот период.

Автору Дзена. Сама платформа Дзен не ваша забота, но личный сайт или лендинг для курса проверьте так же. А тема хорошо заходит аудитории: объясните читателям простыми словами, как проверить свой сайт, это полезный и честный материал.

Учителю и родителю. Тем, кто проходил «Урок цифры» по теме кибербезопасности и ИИ и получил сертификат, эта история даст живой пример к уроку: ошибка десять лет пряталась в коде, а нашли её за выходные с помощью нейросети.

Откройте «Здоровье сайта» сегодня вечером: это пять минут, которые могут сэкономить месяц восстановления.

По данным TechCrunch, подкаст Equity