Докато екипите по сигурност и уеб администраторите се надпреварваха тази седмица да инсталират корекции за сигурност за новопубликувани уязвимости в PHP, киберпрестъпници бързо се опитаха да експлоатират дефектите в реални условия. Милиони опити за компрометиране бяха регистрирани броени часове след оповестяването на уязвимостите според анализ на Cloudflare — което не е изненадващо предвид широкия достъп до AI инструменти, способни да улеснят нападателите в бързото разработване на атаки.

Засега кошмарният сценарий с масови пробиви и завземане на контрол над инфраструктурата на жертвите не се е осъществил. Фондацията PHP Foundation посочва, че не е наблюдавала успешно експлоатиране на дефектите, наречени съвкупно PHP2Shell, а много от публично разпространяваните потенциални експлойти изглеждат неефективни. Може би най-интересната роля на изкуствения интелект насред хаоса тази седмица обаче е начинът, по който съвременните модели помогнаха на изследователите да открият практически приложими вектори за атака срещу уязвимостите, които бяха известни, поне частично, от години. С други думи, изкуственият интелект помогна отдавнашна уязвимост да се превърне в настояща криза.

Означава ли това, че всички ние предстои да бъдем застигнати от вълна от критични уязвимости, съществували незабелязано десетилетия наред?

Изследователи от компанията за сигурност Calif бяха първите, които идентифицираха уязвимостите PHP2Shell и разработиха експлойти в началото на август — отчасти използвайки авангардни AI инструменти по програмата Patch the Planet на OpenAI, но също така и благодарение на експертния човешки опит с PHP, неговите динамични процеси и слаби места. Някои от съпътстващите проблеми бяха установени през 2024 г., но по онова време бяха счетени за твърде сложни за експлоатиране. След откритието на Calif, специалисти от OpenAI и притежаваната от Google компания за киберсигурност Wiz независимо откриха слабости в PHP2Shell с помощта на AI инструменти.

„Уязвимостта беше известна на екипа на PHP от години, но тъй като не можеше да бъде използвана от нападател — поне не от човек — проблемът не беше адресиран“, споделя Саги Цадик, изследовател по киберсигурност в Wiz.

Няма съвършен софтуер. Неизбежно дефекти присъстват дори в най-критичните и фундаментални дигитални инструменти, но разширяващите се възможности на моделите с изкуствен интелект ускоряват анализа и потенциалното експлоатиране на пропуски. Това оказва още по-голям натиск върху претоварените ИТ екипи, разработчици и администратори да поддържат системите защитени. Месечните обновления за сигурност на Microsoft само за този месец включваха рекордните 1453 уязвимости. Междувременно Bank of America наскоро нае 1000 консултанти, за да отстранят проблеми, открити от модела Mythos на Anthropic. Изследователите по сигурност обаче подчертават, че в крайна сметка изкуственият интелект не създава нови явления, а по-скоро усилва съществуващата динамика при откриването на уязвимости и координираното им разкриване.

„Определено ще станем свидетели на още подобни дългогодишни дефекти, които съществуват във всяка версия на даден софтуер през последното десетилетие“, казва Джейк Уилямс, вицепрезидент по научноизследователска и развойна дейност в Hunter Strategy и бивш хакер от NSA. „Но смятам, че броят на тези леснодостъпни цели е ограничен. Малко други системи притежават специфичния обхват на PHP. Това е изключително широка повърхност за атака — повечето други инструменти не са проектирани да бъдат директно изложени в интернет.“

Изследователите отбелязват също така, че дори при най-усъвършенстваните модели по-голямата част от комплексните хакерски атаки, подпомагани от изкуствен интелект, все още изискват човешка експертиза. Както написа тази седмица Райън Остин, изследователят от Calif, който пръв откри уязвимостите в PHP: „Нито един модел не е способен самостоятелно да разкрие „всички дефекти“ чрез прости заявки. Поне за момента.“

Накратко, инженерът и изследовател по сигурност Нийлс Провос съветва напрежението да бъде намалено поне до известна степен. „Честно казано, не съм особено разтревожен“, заявява той по повод опасенията, че изкуственият интелект ще открие огромен брой стари пропуски, които внезапно да станат лесни за атака, или нови уязвимости, които не биха могли да се експлоатират практически без AI. „Специалистите търсят с помощта на изкуствен интелект вече повече от година и беше необходим екип с изключително висока квалификация, за да открие точно тази. Предполагам, че времето ще покаже дали напълно греша, но се съмнявам.“