O colapso do PHP mostra como a IA torna os bugs mais exploráveis

Bem-vindo ao Pânico do Kernel, um boletim semanal de Lily Hay Newman e Matt Burgess de dentro do novo mundo de privacidade e segurança digital. Para receber este boletim informativo em sua caixa de entrada todas as semanas, inscreva-se aqui.

Enquanto as equipes de segurança e os administradores da web lutavam esta semana para corrigir novos problemas públicos Erros de PHPhackers criminosos rapidamente tentou explorar as falhas na natureza. Milhões de tentativas de exploração ocorreram poucas horas após a publicação das vulnerabilidades, de acordo com a análise da Cloudflare – o que não é surpreendente, dado o amplo acesso a ferramentas de IA que podem tornar mais fácil para os invasores explorarem rapidamente as falhas.

Até agora, o cenário de pesadelo de aquisições e violações em massa de vítimas não se concretizou. A PHP Foundation afirma que não viu nenhuma exploração bem-sucedida dos bugs, chamados coletivamente de PHP2Shell, e de muitas explorações potenciais que circulam publicamente. parece ser ineficaz. No entanto, talvez o papel mais interessante da IA ​​no meio do caos desta semana seja como os modelos avançados ajudaram os investigadores a descobrir explorações práticas para as vulnerabilidades, das quais eram conhecidas, pelo menos em parte, há anos. Por outras palavras, a IA ajudou a transformar a vulnerabilidade histórica numa crise atual.

Então, estamos todos prestes a ser atingidos por uma onda de vulnerabilidades críticas que já existem há décadas?

Pesquisadores da empresa de segurança da Califórnia foram os primeiros a identificar o Vulnerabilidades do PHP2Shell e criar explorações no início de agosto – usando parcialmente ferramentas de IA de ponta como parte do OpenAI Remendar o Planeta programa, mas também usando conhecimento humano especializado em PHP, sua dinâmica e seus pontos fracos. Alguns dos problemas subjacentes foram identificados em 2024 mas foram considerados muito complexos para serem explorados na época. Após a descoberta da Califórnia, pesquisadores da OpenAI e da empresa de segurança Wiz, de propriedade do Google, descobriram independentemente falhas do PHP2Shell usando ferramentas de IA.

“A vulnerabilidade era conhecida pela equipe PHP há anos, mas como não poderia ser aproveitada por um invasor – pelo menos não por um humano – ela não foi abordada”, diz Sagi Tzadik, pesquisador de segurança da Wiz.

Nenhum software é perfeito. Existem inevitavelmente falhas até mesmo nas ferramentas digitais mais críticas e fundamentais, mas as capacidades crescentes dos modelos de IA tornaram mais rápida a análise e a potencial exploração de vulnerabilidades. Isso coloca ainda mais pressão sobre equipes de TI, desenvolvedores e administradores com poucos recursos para acompanhar. As atualizações de segurança da Microsoft incluíram um registro 1.453 vulnerabilidades de segurança só este mês. Enquanto isso, o Bank of America contratou recentemente 1.000 consultores para corrigir falhas descobertas pelo Mythos da Antrópico. Os investigadores de segurança sublinham, no entanto, que a IA, em última análise, não está a fazer nada de novo, mas sim a ampliar a dinâmica existente de descoberta de vulnerabilidades e divulgação coordenada.

Source link