OpenAI предложи процес в пет етапа за управление на критични уязвимости в широко използван софтуер. Процедурата е резултат от двумесечна реакция при отстраняване на слабости в PHP — езика с отворен код, на който работят множество уебсайтове и уеб приложения. Calif откри една от PHP уязвимостите чрез модела GPT-5.6 Sol на OpenAI като част от инициативата за сигурност на проекти с отворен код „Patch the Planet“, а Wiz независимо идентифицира и докладва и двете.
„Колкото и съществени да са тези дефекти, те са сред редицата значими уязвимости, които вече открихме и по чието отстраняване работим, като очакваме подобни находки рязко да се увеличат през следващите месеци“, пишат от OpenAI.
Рамката е предназначена за уязвимости, които засягат множество продукти едновременно, при които дистрибуторите и доставчиците на услуги се нуждаят от време за подготовка. Това време може бързо да се съкрати, ако широко достъпните AI инструменти, включително за атакуващи, са съвсем малко по-назад от водещите модели, извършващи търсенето.
Пет етапа с водеща роля на поддържащите екипи
В първия етап поддържащите екипи, изследователите и техническите партньори потвърждават проблема, оценяват неговото въздействие, след което разработват и тестват решение. Част от това тестване включва насочване на авангардни модели към корекцията за сигурност, за да се търсят начини за нейното заобикаляне, както и свързани варианти на дефекта.
Във втория етап засегнатите организации получават предварителна преднина. Даден дистрибутор може да адаптира поправката за по-стара версия, хостинг доставчик може да тества временна мярка за защита, а доставчик на решения за сигурност може да създаде правила за защитни стени за уеб приложения (WAF) — филтри, които блокират злонамерен трафик, преди той да достигне приложението.
На трето място екипите за реагиране привличат правителствени структури. В случая с PHP компанията OpenAI и нейните партньори ангажираха Super Intelligence Force към Белия дом, Офиса на националния кибердиректор, CISA и международни партньори. Четвърто, след като корекцията за сигурност и плановете за оповестяване са финализирани, поддържащите екипи разширяват кръга към допълнителни дистрибутори, доставчици и системни оператори. Пето, след публикуване на корекцията за сигурност, специалистите разпространяват насоки и продължават да оказват съдействие, докато операторите внедряват обновленията.
Кой научава пръв и какъв обем информация получава
Рамката на OpenAI оценява три фактора при определянето на това кой да получи ранен достъп: ролята на организацията в защитата, необходимото ѝ време за реакция и способността ѝ да работи с чувствителна информация. Същите критерии биха се прилагали за съпоставими организации, а поддържащите екипи вземат окончателното решение. Всеки участник получава само това, което се изисква за неговата роля — от мрежови логове с индикатори за компрометиране (IoC) до работещи демонстрационни експлойти (proof-of-concept).
„Дори ограничени подробности могат да разкрият дадена уязвимост“, отбелязва OpenAI. Екипите, прилагащи плана, биха преразгледали графика, ако уязвимостта започне да се експлоатира активно, изтече публично или бъде разкрита от лесно дешифрируема публична корекция за сигурност, както и ако забавеното отстраняване увеличи риска за потребителите.
В кои области OpenAI търси съдействие
OpenAI търси мнението на поддържащи софтуера лица, изследователи и оператори относно това каква трябва да бъде продължителността на прозорците за оповестяване, как да се балансира между широкото ранно известяване и риска от изтичане на информация, както и как да се отстраняват уязвимости в по-стари версии на софтуерни пакети, които вече не получават обновления за сигурност. Един от въпросите отива още по-далеч: дали правителства или оператори трябва да използват уязвимост, за да инсталират корекции за сигурност на системи, които притежават или са упълномощени да управляват, след като са загубили административен достъп? OpenAI очерта бъдещ модел на непрекъснато сканиране в цялата глобална мрежа, което или да предупреждава собствениците на сайтове, или директно автоматично да инсталира корекции за сигурност на самата система.