История с PHP показывает, как ИИ делает уязвимости опаснее для эксплуатации

ИИ помог обнаружить уязвимости

Исследователи компании Calif первыми выявили уязвимости PHP2Shell и создали эксплойты в начале августа. Они частично использовали передовые модели в рамках программы OpenAI Patch the Planet, но опирались и на экспертные знания о PHP, его устройстве и слабых местах. Некоторые базовые проблемы нашли ещё в 2024 году, однако тогда их сочли слишком сложными для эксплуатации. После открытия Calif исследователи OpenAI и принадлежащей Google компании Wiz независимо обнаружили уязвимости PHP2Shell с помощью инструментов ИИ.

Исследователь Wiz Саги Цадик отметил, что команда PHP знала об уязвимости несколько лет, но не исправляла её, поскольку атакующий — по крайней мере человек — не мог использовать её на практике.

Идеального программного обеспечения не существует: ошибки неизбежны даже в критически важных цифровых инструментах. Но растущие способности моделей ИИ ускоряют анализ уязвимостей и поиск способов их эксплуатации. ИТ-командам, разработчикам и администраторам, которым часто не хватает ресурсов, становится сложнее за всем успевать. Только в этом месяце обновления безопасности Microsoft закрывали рекордные 1 453 уязвимости. А Bank of America недавно нанял 1 000 консультантов, чтобы устранить ошибки, найденные с помощью Mythos от Anthropic.

При этом исследователи подчёркивают: ИИ не создаёт принципиально новых процессов, а усиливает уже существующие практики поиска уязвимостей и их скоординированного раскрытия.

Джейк Уильямс, вице-президент по исследованиям и разработкам Hunter Strategy и бывший хакер АНБ, ожидает, что обнаружится больше старых ошибок, которые годами сохранялись в разных версиях программ. Но, по его мнению, таких лёгких целей ограниченное количество. PHP имеет необычно широкую поверхность атаки: большинство других инструментов изначально не открыты для интернета.

Даже сложные атаки с помощью передовых моделей обычно требуют человеческой экспертизы. Райан Остин из Calif, первым обнаруживший уязвимости PHP, написал на этой неделе, что ни одна модель пока не способна найти все ошибки с помощью простых промтов.

Повод для тревоги пока ограничен

Инженер по безопасности и исследователь Нильс Провос считает, что паниковать стоит лишь отчасти. Он не слишком опасается, что ИИ позволит массово находить старые уязвимости, которые теперь можно эксплуатировать, или обнаруживать новые ошибки, недоступные для практической атаки без ИИ. По его словам, исследователи используют ИИ для поиска уязвимостей уже больше года, а PHP2Shell смогла обнаружить высококвалифицированная команда. Провос допускает, что может ошибаться, но сомневается в этом.