Обнаружит ли ИИ, насколько хлипко устроена интернет-инфраструктура?

Почему уязвимости находят всё чаще

В выпуске подкаста TechCrunch Equity Кирстен Коросек, Шон О’Кейн и Энтони Ха обсудили, что означает история с PHP и стоит ли ждать новых подобных случаев.

Шон назвал происходящее моментом переоценки рисков: на глубинном уровне интернет, по его словам, держится на «клее и мечтах». С распространением больших языковых моделей и ИИ-агентов искать уязвимости станет проще. Однако конкретные уязвимости PHP обнаружили исследователи-люди, а не модели.

Кирстен предположила, что происходящее может усилить тревогу: если уязвимости затронут банки, а к этому добавятся опасения за данные и приватность, проблема покажется гораздо масштабнее, чем можно решить сейчас.

Далее TechCrunch опубликовал отредактированный по длине и ясности фрагмент разговора.

Шон отметил, что за последние десять лет не раз случалось так, что один человек, поддерживавший небольшой репозиторий в свободное время, замечал подозрительную активность и помогал не допустить серьёзных проблем с интернет-инфраструктурой.

Теперь, по его словам, можно представить, что таких проверок станет в миллиард раз больше: у людей есть доступ к продвинутым программным моделям, которыми можно поручить самостоятельно искать уязвимости. Для этого можно создавать ИИ-агентов, нацеленных на выполнение конкретных задач.

На этой неделе одновременно происходили два процесса. Сотрудники лабораторий и компаний, включая Google и OpenAI, искали уязвимости — в том числе в PHP. Другие пытались воспользоваться найденными проблемами, чтобы взламывать сайты. Власти отключали сайты, а некоторые популярные ресурсы ненадолго закрывались, пока специалисты устраняли уязвимость.

Шон назвал это моментом переоценки рисков, связанных с тем, что значительная часть интернета построена на открытых технологиях вроде PHP. На базовом уровне, сказал он, интернет держится на «клее и мечтах».

Почему уязвимость в PHP так важна

Энтони Ха отметил, что, насколько ему было известно, уязвимость появилась не недавно: она существовала в PHP десятилетиями. Этот язык программирования использовали при создании значительной части веба, но проблема долго оставалась незамеченной.

По его первоначальному мнению, крупные компании, занимающиеся ИИ, в том числе Wiz, теперь принадлежащая Google, нашли уязвимости с помощью больших языковых моделей. Позже Энтони уточнил, что ошибся: уязвимости обнаружили исследователи-люди, участвовавшие в инициативе OpenAI и Wiz «Hack the Planet», хотя для эксплуатации ошибки они применяли ИИ.

Необходимость срочно выпустить исправление связана с тем, что, если уязвимость удалось обнаружить с помощью больших языковых моделей, её могут найти и другие. Но, чтобы выпустить исправление, нужно сообщить об уязвимости. В результате владельцам сайтов пришлось действовать в спешке: установить исправление или закрыть сайт, если обновиться немедленно не получается. По словам Энтони, уязвимость была настолько серьёзной, что требовала именно таких мер.

Кирстен добавила, что многие владельцы сайтов могут даже не знать, что используют PHP — открытый язык программирования, которому уже несколько десятилетий. Его полное название — Hypertext Preprocessor. PHP лежит в основе систем управления содержимым, используемых, например, в WordPress и Drupal. По оценке Кирстен, эти системы связаны примерно с 70% сайтов — речь идёт о десятках миллионов ресурсов.

Масштаб ситуации заставил её задуматься о том, сколько ещё старого и уязвимого программного обеспечения может ждать обнаружения. Кирстен также вспомнила материал 404 Media о «гниении ссылок»: компании, власти и даже небольшие сайты в районах могут закрывать ресурсы вместо того, чтобы установить исправление. Из-за этого старые страницы и фрагменты истории могут стать недоступны.

Гонка после раскрытия уязвимости

Шон согласился с Энтони и заметил, что многие недовольны тем, как раскрыли информацию об уязвимости. По его словам, некоторые посчитали, что OpenAI слишком громко заявила о своей роли в публикации.

Кроме того, несколько человек, как говорилось в разговоре, сообщили об уязвимости до окончания эмбарго. Это запустило гонку среди хакеров. Шон упомянул публикацию генерального директора Cloudflare Мэттью Принса: тот сообщил о миллионах попыток взлома с использованием PHP2Shell.

Обычно в кибербезопасности, объяснил Шон, исследователь может сообщить компании об уязвимости в её программном обеспечении — даже если оно важно для многих компьютеров или частей интернета, — и информация некоторое время останется внутри ограниченного круга. Но когда проблема затрагивает настолько фундаментальные технологии, незаметно предупредить всех невозможно.

Шон предположил, что это могло бы сработать, если бы ИИ был достаточно развит, чтобы поручить миллиарду агентов отправить письмо каждому, кто отвечает за какую-либо часть сайта. Раньше у веб-мастеров были понятные контакты, и, возможно, это помогло бы решить часть проблемы. Однако простого способа уведомить всех нет. По мнению Шона, это начало долгой череды споров и нового этапа в кибербезопасности.

Кто сможет защитить сайты

Кирстен назвала публикацию Мэттью Принса показательным и тревожным сигналом. Она также упомянула запись в блоге Amazon. У компании есть значительные ресурсы, инструменты и команда специалистов, чтобы отслеживать подобные угрозы. Amazon управляет сетью приманок — имитаций настоящих систем, — и, по словам Кирстен, заметила попытки использовать уязвимость ещё до того, как о ней сообщили публично.

Amazon располагает средствами, финансированием и опытом для борьбы с такими угрозами. Но множество сайтов, в том числе возможные государственные ресурсы, не получают такого уровня внимания. Кирстен считает это особенно тревожным.

Она также предположила, что некоторые сотрудники, занимающиеся ИИ, могут сильнее встревожиться из-за возможных последствий: злоумышленники способны атаковать банки, а проблемы с данными и приватностью увеличивают масштаб угрозы. Кирстен интересно, насколько далеко зайдёт реакция людей и появятся ли новые стартапы, связанные с этой ситуацией. Ещё один возможный вариант — использование открытых инструментов, предлагаемых компаниями вроде Nvidia, для создания уровней защиты.