OpenAI odkril kritične ranljivosti v PHP in kaj to pomeni v praksi

Primer po navedbah OpenAI kaže, da lahko napredni modeli odkrijejo napake, ki vplivajo na široko uporabljeno programsko opremo in s tem na velik del interneta. Enake zmogljivosti pa bi lahko napadalcem pomagale hitreje razviti orodja za izkoriščanje ranljivosti. Podjetje pravi, da so bile napake odkrite pred napadalci, kar je obrambnim ekipam omogočilo čas za pripravo popravkov in zaščite.

Od odkritja do popravka je potrebna usklajena akcija

OpenAI je odziv predstavil v okviru pobude “Patch the Planet”. Pri odpravi napak so sodelovali vzdrževalci PHP, raziskovalci ter podjetja, kot sta Wiz in Cloudflare. Pomagali so preizkusiti popravke, pripraviti varnostna navodila in uskladiti zaščito sistemov pri ponudnikih infrastrukture. Vključene so bile tudi ameriške agencije za kibernetsko varnost, med njimi CISA.

Podjetje predlaga postopek v več korakih: najprej preverjanje in odprava ranljivosti v izvirnem projektu, nato zaupno obveščanje organizacij, ki potrebujejo čas za pripravo ter usklajevanje z državnimi partnerji in ponudniki. Ko so popravek in navodila pripravljeni, sledita objava in pomoč pri nameščanju posodobitev. Časovnico bi bilo treba prilagoditi, če bi napadalci ranljivost že izkoriščali ali če bi informacije o njej ušle v javnost.

Vzdrževalci potrebujejo dodatno podporo

Odprtokodno programsko opremo pogosto vzdržujejo majhne ekipe, ki varnostne prijave obravnavajo poleg rednega razvojnega dela. Preveriti morajo, ali je prijava nova, oceniti njen vpliv ter pripraviti in preizkusiti popravke za vse različice. OpenAI pravi, da jih namerava podpreti s financiranjem, dostopom do modelov in neposredno tehnično pomočjo. V okviru programa “Daybreak” je za subvencioniran dostop do varnostnih orodij namenil milijardo dolarjev, predvsem organizacijam z omejenimi viri za zaščito ključnih storitev.

OpenAI obenem predvideva uporabo umetne inteligence za preprečevanje napak že med pisanjem kode, pomoč pri prehodu na pomnilniško varnejše programske jezike ter preverjanje varnostnih lastnosti programske opreme. Kot dodatno zaščito omenja tudi strožjo izolacijo programov, ki obdelujejo nezanesljive datoteke, da bi morebitni vdor povzročil manj škode.

Predlagani okvir OpenAI še ni dokončen. Podjetje vabi vzdrževalce, raziskovalce, ponudnike in upravljavce sistemov, naj opozorijo na morebitne pomanjkljivosti. Eden ključnih izzivov bo določiti, kdo mora biti o ranljivosti obveščen pred javno objavo in koliko časa potrebuje za ukrepanje, ne da bi se občutljive informacije prezgodaj razširile.