Генеральний директор Cloudflare каже, що штучний інтелект ламатиме інтернет щотижня протягом двох років

Генеральний директор Cloudflare Метью Прінс заявив Reuters, що можна очікувати пару років щотижневої паніки безпеки, через кілька днів після того, як дослідження PHP за допомогою штучного інтелекту вивело GOG з ладу.

Недоліки, що спричинили цю проблему, знаходяться в самому PHP, а не в жодному сайті, побудованому на його основі, і PHP працює на 69,3% веб-сайтів, чия серверна мова відома. Прінс каже, що його компанія вже знає про серйозніші недоліки в іншому критичному програмному забезпеченні. Те, що змінилося цього тижня, — це те, як швидко будь-хто може перетворити недолік на робочу атаку.

Wiz Research опублікувала висновки 21 жовтня під назвою PHP2Shell, згруповані у дві CVE з рівнем серйозності, що сягає CVSS 9.2. Кожен реліз PHP за останнє десятиліття постраждав принаймні від однієї з них, починаючи з версії 5.4. Ці помилки стосуються безпеки пам'яті в тому, як движок обробляє фатальні помилки, і вони дозволяють неавтентифікованому зловмиснику читати пам'ять процесів або запускати код на сервері. У цій пам'яті можуть зберігатися паролі, токени автентифікації, ключі API та сертифікати, що належать до інших запитів. Дослідницька група продемонструвала віддалене виконання коду з попередньою автентифікацією на поточних контейнерах WordPress, Drupal та Joomla та зазначила, що вибір програмного забезпечення був довільним, оскільки проста сторінка привіт-світу на ураженій версії PHP відображається однаково. Команда PHP відправила патч того ж дня.

Вразливий код лежав там понад десять років, і ніхто не перетворив його на корисний експлойт. Створення такого коду означало об'єднання кількох помилок у ланцюжок та адаптацію до того, як кожна ціль розподіляє пам'ять, що є повільною, спеціалізованою роботою, яка раніше залишала недоліки на рівні теорії.

«Моделі Frontier були критично важливими для практичності цього процесу, дозволяючи нам розробляти та адаптувати робочі експлойти для кількох програм за лічені години».

— Wiz Research

Wiz назвала моделі, які використовувала, причому Gemini 4 Argon відзначила внесок у виявлення, розробку експлойтів та перевірку патчів, а Ралука Ада Попа з Google DeepMind описала результат як передовий штучний інтелект, який заповнив прогалину, з якою захисники жили протягом десятиліття. Той самий механізм працює для будь-кого з іншого боку. Аргумент Прінса в інтерв'ю Reuters полягає в тому, що межею виявлення вразливостей раніше була кількість експертів, готових витрачати на це місяці, і ця межа зникла.

«Я думаю, що у нас буде кілька років, коли кожного тижня буде відчуття, ніби небо падає».

— Метью Прінс

Cloudflare охоплює 86,0% веб-сайтів, які використовують зворотний проксі-сервер, що становить 27,9% Інтернету, і цей список включає Epicgames.com, Spotify, Shopify та X. Компанія також вже шість місяців проводить власну реструктуризацію навколо штучного інтелекту, скоротивши у травні 1100 співробітників електронною поштою, що становить близько 20% компанії, а у службовій записці Прінса описується перехід до ери агентів ШІ, а не скорочення витрат. Внутрішнє використання ШІ в компанії зросло більш ніж на 600% за попередні три місяці. Чоловік, який прогнозує два роки збоїв, спричинених ШІ, керує компанією, яка зробила ставку на кількість свого персоналу на ту саму технологію.

__КОРОТКИЙ_ТОКЕН_0__

GOG оголосила о 8 ранку за тихоокеанським часом, що її магазин та GOG Galaxy будуть недоступні на кілька годин технічного обслуговування, не назвала причини та повернулася приблизно через чотири години з повідомленням про єдину річ, якої не може торкнутися збій.

«Ваша бібліотека без DRM знаходиться саме там, де ви її залишили».

— ГОГ

Сервери входу в Final Fantasy 14 вийшли з ладу в тому ж вікні, і уряд Фінляндії як запобіжний захід видалив вебсайти. Жоден із цих сервісів не мав використовувати вразливий код, щоб рішення мало сенс; оновлення мови, яку використовують дві третини Інтернету, відбувається швидше, коли світло вимкнено.

Мене більше хвилює розподіл версій, ніж дата патчу. PHP 8 охоплює 65,4% сайтів на PHP, що залишає 26,8% на версії 7 та 7,7% все ще на версії 5, і це ті хостинги, у яких найменше шансів прочитати блог з розкриттям інформації в середу. Патч, випущений 21 жовтня, захищає лише ті сервери, які його приймають, а решта залишаються відкритими, поки їх ніхто не торкається.

Суперечка щодо штучного інтелекту, яку ігрова індустрія веде вже весь місяць, стосується іншої машини. Масахіро Сакурай заявив цього тижня, що генеративні інструменти допоможуть Steam перевищити позначку в 19 000 ігор, прийнятих цього року, порівняно з 275 у 2010 році, і що більшість того, що надійде, будуть нерентабельними копіями систем, які вже використовують інші ігри. Його турбує вітрина, яку ніхто не зможе прочитати. Розкриття інформації про PHP — це та сама можливість, спрямована на інфраструктуру, де обсяг продукції не є проблемою, а єдиний робочий ланцюжок.

Epic Games оголосила про свій AI MegaJam, який відбудеться 12 листопада. Приз за кожного переможця першого місця в категорії становить 7500 доларів, а грант на продовження – до 50 000 доларів. Потім компанія непомітно видалила рядок із поширеними запитаннями, в якому повідомлялося, що учасники взагалі повинні використовувати ШІ. Epicgames.com входить до списку сайтів, що стоять за проксі-рівнем, який проводить Prince, і який є тією частиною стеку, що поглинула весь процес цього тижня, а не тією, що проводить сам джем.

Старший менеджер з бізнес-стратегії Xbox Брендон Стіррап 18 жовтня висловив найпереконливішу версію твердження виробника, опублікувавши повідомлення про те, що будь-хто може створити гру зі штучним інтелектом на основі дводенного прототипу, витративши на нього близько трьох годин, а потім видалив свій обліковий запис протягом дня. Цього тижня я вважаю аргумент виробника менш цікавим, ніж аргумент, що вбивство є головним, оскільки приз Jam Prize та видалена тема – це думки, а CVSS 9.2 мовою, якою користується більшість веб-сторінок, – це демонстрація.

Прінс справді очікує, що цикл завершиться десь корисним. Його позиція полягає в тому, що виявлені недоліки зараз мають бути виправлені, і що програмне забезпечення вийде з наступних двох років безпечнішим, ніж було введено. Це довгострокове твердження, пов'язане з короткостроковою інструкцією, яка полягає в тому, щоб підтримувати браузери та клієнти в актуальному стані та ставитися до повідомлень про збої протягом наступних кількох місяців як до рутини. Я б волів мати нудні цикли виправлень, ніж чистішу кодову базу у 2028 році, і запропонований прогноз – це другий з них.

Cloudflare не повідомила, які ще критично важливі програми вона відстежує. Wiz заявила, що варіанти PHP, про які вона повідомила, не єдині в кодовій базі, хоча жовтневий патч закриває клас на корені.