2026 m. rugpjūčio pradžioje Sagi Tzadik, saugumo tyrėjas iš kibernetinio saugumo įmonės Wiz, paprašė dirbtinio intelekto agento patikrinti, ar WordPress sistemoje aptikta saugumo spraga galėtų būti pritaikyta Drupal platformai. Po aštuonių valandų agentas pranešė, kad bandymas nepavyko, tačiau tuo pačiu metu aptiko klaidą PHP programavimo kalboje – kalboje, nuo kurios priklauso tiek WordPress, tiek Drupal, ir kuri naudojama iki 70 % interneto turinio.
Tzadik iš pradžių manyjo, kad AI suklydo – „Modeliai linkę haliucinacijų“, – teigė jis TIME žurnalui. Tačiau išsiaiškėjo, kad eksploatacija, pasinaudojusi dešimtmečius nepastebėta PHP silpnybe, iš tiesų veikia. Ši klaida liko nepastebėta daugiau nei dešimtmetį, kol AI ją išskleidė. Tuo pat metu kitų tyrėjų komanda iš kibernetinio saugumo įmonės Calif, bendradarbiaujanti su OpenAI, taip pat naudojo AI, kad rastų susijusią spragą. Tai rodo, jog kai AI pasiekia tam tikrą gebėjimų lygį, senos, ilgai neaptiktos silpnybės tampa matomos.
AI kaip gynybos priemonė ir jos ribos
AI įmonės stengiasi suteikti gynybos specialistams, tokiems kaip Wiz ir Calif, ankstyvą prieigą prie naujausių modelių, kad jie galėtų rasti spragas prieš jas pasiekiantys kenkėjiški naudotojai. Šį kartą tai pavyko – AI padėjo atrasti PHP spragą dar prieš jos plačiai paskleidimą. Ši situacija atskleidžia naują kibernetinio saugumo etapą, kuriame AI greitai identifikuoja pažeidžiamumus, bet tuo pačiu sumažina laiką, per kurį juos reikia ištaisyti.
Greitas reagavimas ir iššūkiai
Nors pažeidžiamumo atskleidimas sukėlė nerimą dėl galimo „kibernetinio apokalipsės“ scenarijaus, tyrėjai išlaikė optimistišką požiūrį. „Mes taisome pažeidžiamumus neįtikėtinu greičiu, ir tai bendrai gerina saugumą“, – sakė Tzadik. Tačiau faktai rodo, kaip arti buvo katastrofos: informacija apie spragą pradėjo sklisti internete dvi dienas prieš planuojamą pataisos išleidimą, todėl PHP prižiūrėtojai privalėjo pagreitinti pataisos publikavimą. Vieną dieną anksčiau nei planuota, pataisa buvo paskelbta.
Po to, kai pataisa dar nebuvo prieinama, Calif netyčia paskelbė vaizdo įrašą, kuriame matyti, kaip veikia jų eksploatacija. Tai paskatino daugelio kopijavimo bandymų – Cloudflare fiksavo tūkstančius bandymų prieš oficialų pranešimą, dešimtis tūkstančių per 45 minutes, šimtus tūkstančių per dvi valandas ir galiausiai milijonus. Net po pataisos išleidimo kai kurios svetainės, įskaitant vyriausybines ir Wikipedia dalis, buvo laikinai pašalintos kaip atsargumo priemonė, kol saugumo komandos įdiegė atnaujinimą.
Bendradarbiavimas ir pasitikėjimas
Pataisos paruošimas buvo neformalus sprintas: po to, kai Calif ir Wiz pranešė apie PHP spragą, abi įmonės susivienijo. Nors tarp jų nebuvo jokių sutartinių susitarimų, tyrėjai dalijosi informacija bendruose kanaluose, o procesas vyko „tik remiantis pasitikėjimu“, kaip teigia Tomer Schwartz, Wiz CTO. Apie 15 žmonių grupė beveik kasdien bendraudavo, siekdama išsiaiškinti bendrą pažeidžiamumo šaltinį ir sukurti pataisą.
OpenAI pranešė, kad PHP klaidos yra tik kelios iš „kelias reikšmingų pažeidžiamumų, kuriuos jau radome ir kuriuos taisome“, ir prognozuoja, kad panašūs atradimai aštis kartus padidės artimiausiu metu. Tai kelia klausimą apie procesų, metodų ir technologijų atnaujinimą, kad būtų galima išlaikyti tempą prieš kibernetinius užpuolikus.
AI greitina tyrimus, bet ne pašalina darbo intensyvumo
AI leidžia tyrėjams vienu metu išbandyti daugybę hipotezių, o tradicinis tyrimas, kuris anksčiau truko savaites, dabar suspaudžiamas į kelias dienas ar net valandas. Tačiau net po AI pagalbos, pažeidžiamumo paaiškinimas liko neaiškus – agentas pateikė tik „neaiškius“ aprašymus, todėl Tzadik ir kolegos praleido kelias dienas, kad išnarpliotų priežastį ir galutinai atkartotų klaidą. Taip pat svarstomas kaštų klausimas: tyrimų išlaidos ir resursų poreikis išlieka reikšmingi net naudojant AI.
Išvados
Ši PHP saugumo spraga parodo, kaip AI gali tapti galinga priemone kibernetinio saugumo srityje, bet tuo pačiu atskleidžia, kad greitis ir bendradarbiavimas yra būtini, kad būtų išvengta galimų katastrofų. Nors AI padeda atrasti senas silpnybes, būtina nuolat atnaujinti procesus ir investuoti į greitą reagavimą, kad kenkėjiški naudotojai neturėtų galimybės išnaudoti šių pažeidžiamumų.
—
Krikis IT – specialistai, kurie padeda įmonėms įgyvendinti AI ir automatizacijos sprendimus kibernetinio saugumo srityje.
