Az OpenAI szerint AI fedezett fel kritikus PHP-sebezhetőségeket

Kritikus hibák egy széles körben használt platformon

Az OpenAI közlése szerint az elmúlt két hónapban egy fejlesztőkből, kutatókból és biztonsági szolgáltatókból álló koalícióval dolgozott a PHP-t érintő kritikus sebezhetőségek kezelésén. A PHP nyílt forráskódú programozási nyelv, amelyet weboldalak és webalkalmazások működtetésére használnak.

A vállalat szerint Calif a Patch the Planet kezdeményezés részeként, GPT-5.6 Sol segítségével talált meg egy kritikus hibát. A Wiz ettől függetlenül mindkét sebezhetőséget felfedezte és jelentette. A javításokat a PHP karbantartói vezették, az OpenAI, a Wiz, a Cloudflare és más partnerek pedig kutatással, technikai támogatással és koordinációval segítették a védekezés előkészítését.

Az OpenAI a problémát az utóbbi időszak egyik legnagyobb hatású biztonsági ügyének tartja, tekintettel a PHP elterjedtségére. A vállalat szerint a határterületi AI-modellek ezúttal a támadók előtt találták meg a hibákat, így a karbantartóknak és a biztonsági szolgáltatóknak időt biztosítottak a javításokra és a védelmi intézkedésekre.

Ötlépcsős folyamat a javítások összehangolására

Az OpenAI egy, a széles körben használt szoftverek kritikus sebezhetőségeire javasolt, ötlépcsős eljárást is bemutatott. Elsőként a karbantartók, a kutatók és a technikai partnerek megerősítik a hibát, felmérik annak hatását, majd javítást készítenek és tesztelnek. Ebbe a határterületi modellekkel végzett ellenséges tesztelés is beletartozik, amely a javítás megkerülésének lehetőségeit és a kapcsolódó változatokat keresi.

A következő lépésben az érintett szervezetek időt kapnak a felkészülésre. Egy terjesztő régebbi kiadásokhoz igazíthatja a javítást, egy tárhelyszolgáltató tesztelheti a mérséklő intézkedést, egy biztonsági szolgáltató pedig észlelési vagy megelőzési szabályokat, köztük webalkalmazási tűzfalhoz használható szabályokat készíthet.

A folyamat része a kormányzati partnerekkel való együttműködés, az érintett termékek frissítéseinek előkészítése, végül pedig a nyilvános útmutatás és a telepítés támogatása. A PHP esetében az OpenAI és partnerei az amerikai kormány több részével, köztük a White House’s Super Intelligence Force, az Office of the National Cyber Director, az ONCD, valamint a Cybersecurity and Infrastructure Security Agency, a CISA szervezettel is együttműködtek.

A felhasználóknak most a javítások telepítése a feladatuk

Az OpenAI PHP-verzióellenőrzőt oszt meg, és egy kapcsolódó Codex-készséget is indít. Ennek célja, hogy az üzemeltetők azonosíthassák a potenciálisan sérülékeny PHP-verziókat, majd a PHP karbantartóinak és a szolgáltatóknak az útmutatása alapján meghatározhassák, mely frissítések vonatkoznak rájuk.

A Patch the Planet webhelye összegyűjti a nyilvános közleményeket és útmutatókat. Ezek segíthetnek az érintett rendszerek azonosításában, a megfelelő frissítés megtalálásában és annak ellenőrzésében, hogy a javított szoftver fut-e. Az anyagok kitérnek az átmeneti védelmi intézkedésekre, a szolgáltató vagy szakértő bevonásának szükségességére, valamint a mentésre és helyreállításra is.

A vállalat szerint a védekezés sürgősségét az érintettség, a kihasználás és a lehetséges hatás alapján kell meghatározni. Ez jelenthet azonnali javítást, haladéktalan mérséklő intézkedést vagy tervezett frissítést, szükség esetén pedig törvényszéki vizsgálatot annak felmérésére, hogy történt-e már kompromittálás.

Az OpenAI közölte, hogy a hasonló felfedezések száma a következő hónapokban meredeken nőhet. A vállalat ezért finanszírozással, modellekhez való hozzáféréssel és mérnöki segítséggel támogatná a karbantartókat, miközben 1 milliárd dollár értékű támogatott Daybreak-hozzáférést vállalt a korlátozott biztonsági erőforrásokkal rendelkező, alapvető szolgáltatásokat védő szervezetek számára.