OpenAI teigia, kad jos DI padėjo rasti kritinių PHP žiniatinklio spragų

OpenAI teigia, kad jos „GPT-5.6 Sol“ modelis padėjo rasti vieną iš dviejų kritinių pažeidžiamumų PHP, atvirojo kodo programavimo kalboje, kuri yra daugelio interneto svetainių pagrindas. Bendrovė taip pat pasiūlė penkių etapų sistemą, skirtą valdyti didesnį DI aptiktų klaidų skaičių, kurio tikimasi ateityje. Spalio 21 d. paskelbtame tinklaraščio įraše OpenAI nurodė, kad du mėnesius vadovavo prižiūrėtojų, tyrėjų ir saugumo įmonių koalicijai, sprendžiančiai šias problemas. Saugumo įmonė „Calif“ vieną iš jų rado naudodama „GPT-5.6 Sol“ per OpenAI iniciatyvą „Patch the Planet“, o „Wiz“ nepriklausomai rado ir pranešė apie abi.openai.com

Šios spragos, bendrai vadinamos „PHP2Shell“, galėtų leisti įsilaužėliams nuotoliniu būdu vykdyti kenkėjišką kodą paveiktuose serveriuose, pranešė CNBC „Comcast Corporation“ ↘ 0.66%. Jei spragos būtų išnaudotos, užpuolikai galėtų perimti serverių kontrolę be slaptažodžio, pranešė „Axios“. „Wiz“ tyrėjai rašė, kad šios klaidos yra „tarp rimčiausių PHP aptiktų pažeidžiamumų ir, ko gero, programinės įrangos istorijoje.“cnbc.com+1

Vyriausybės įspėja, technologijų įmonės reaguoja

JAV Nacionalinio saugumo agentūra trečiadienį nurodė organizacijoms taikyti atnaujinimus ir atjungti paveiktas sistemas, jei jų negalima iškart pataisyti, pranešė CNBC. FTB ir Singapūro, JK, Australijos, Kanados bei Europos Sąjungos institucijos išplatino panašius įspėjimus. „Amazon“ „Amazon.com, Inc.“ ↘ 0.95% teigė, kad jos „MadPot“ sistema užfiksavo bandymus išnaudoti spragas dar prieš jas paviešinant, nors vis dar neaišku, kaip užpuolikai apie jas sužinojo. „Google“ „Alphabet Inc.“ ↘ 1.08% teigė, kad jos „Wiz“ padalinys naudojo DI klaidoms tirti, o „Gemini“ padėjo testuoti atakas ir tikrinti pataisas. „Cloudflare“ ↗ 7.29% pranešė, kad įdiegė apsaugos priemones savo ugniasienėje.cnbc.com

OpenAI prezidentas Gregas Brockmanas teigė, kad koalicija planavo apie spragas pranešti spalio 22 d. Informacija nutekėjo anksčiau, todėl PHP prižiūrėtojai pataisas išleido diena anksčiau, pranešė „Mashable“ „Ziff Davis, Inc.“ ↘ 0.10%. „Wikimedia“ patvirtino, kad „Wikipedia“ veiklos sutrikimas buvo susijęs su taisymo darbais, o Japonijos ministras pirmininkas viešai paragino svetainių savininkus įdiegti pataisą.mashable.com

Penkių etapų sistema

OpenAI pasiūlymas susideda iš penkių etapų. Pirmiausia, patvirtinti klaidą ir ją ištaisyti. Tada suteikti paveiktoms organizacijoms laiko pasiruošti ir įtraukti vyriausybės partnerius, kurie PHP atveju apėmė Baltųjų rūmų „Super Intelligence Force“, Nacionalinio kibernetinio saugumo direktoriaus biurą ir CISA. Po to parengti atnaujinimus visuose susijusiuose produktuose ir paskelbti gaires, kai pataisa bus išleista. Pagal planą, prižiūrėtojai sprendžia, kas gaus išankstinį pranešimą, atsižvelgiant į kiekvienos organizacijos apsauginį vaidmenį, laiką, kurio jai reikia veiksmams atlikti, ir tai, ar ji gali tvarkyti neskelbtiną informaciją, pranešė „Help Net Security“.helpnetsecurity.com+1

OpenAI taip pat skyrė 1 milijardą dolerių subsidijuojamai prieigai prie „Daybreak“, savo saugumo įrankio, organizacijoms, kurioms trūksta išteklių ir kurios teikia būtinas paslaugas. Bendrovė prašo atsiliepimų apie tai, kokio ilgio turėtų būti pranešimų langai ir ar vyriausybės turėtų pačios skenuoti internetą bei taisyti pažeidžiamas sistemas.

Bendrovė teigė, kad PHP nebus paskutinis toks atvejis. „Nors šios klaidos yra reikšmingos, jos yra tik vienos iš kelių svarbių pažeidžiamumų, kuriuos jau radome ir dirbame, kad ištaisytume, ir tikimės, kad panašių radinių artimiausiais mėnesiais staigiai padaugės“, – rašė OpenAI.openai.com