OpenAI sier AI hjalp med å finne kritiske PHP-sårbarheter

OpenAI sier at deres GPT-5.6 Sol-modell hjalp til med å finne en av to kritiske sårbarheter i PHP, programmeringsspråket med åpen kildekode som driver store deler av nettet. Selskapet har også foreslått et rammeverk i fem trinn for å håndtere det økende antallet feil de forventer at AI vil avdekke fremover. I et blogginnlegg 21. oktober skrev OpenAI at de har brukt to måneder på å lede en koalisjon av vedlikeholdere, forskere og sikkerhetsselskaper for å håndtere feilene. Sikkerhetsselskapet Calif fant en av dem ved hjelp av GPT-5.6 Sol gjennom OpenAIs "Patch the Planet"-initiativ, mens Wiz uavhengig fant og rapporterte begge.openai.com

Feilene, som samlet kalles "PHP2Shell", kan la hackere kjøre ondsinnet kode på berørte servere eksternt, rapporterte CNBC Comcast Corporation ↘ 2.82%. Hvis de utnyttes, kan angripere ta kontroll over servere uten passord, rapporterte Axios. Wiz-forskere skrev at feilene rangerer "blant de mest alvorlige sårbarhetene som er oppdaget i PHP, og muligens i programvarehistorien."cnbc.com+1

Myndigheter advarer, teknologiselskaper reagerer

Den amerikanske etterretningsorganisasjonen NSA ba onsdag organisasjoner om å installere oppdateringer og koble fra berørte systemer dersom de ikke kunne patche umiddelbart, rapporterte CNBC. FBI og myndigheter i Singapore, Storbritannia, Australia, Canada og EU utstedte lignende advarsler. Amazon Amazon.com, Inc. ↗ 0.44% opplyste at deres MadPot-system fanget opp forsøk på å utnytte feilene før de ble offentliggjort, selv om det fortsatt er uklart hvordan angriperne fikk kjennskap til dem. Google Alphabet Inc. ↘ 0.97% sa at deres Wiz-enhet brukte AI for å undersøke feilene, og at Gemini hjalp til med å teste angrep og verifisere rettelser. Cloudflare ↗ 1.88% opplyste at de hadde lagt til beskyttelse i sin brannmur.cnbc.com

OpenAI-president Greg Brockman sa at koalisjonen hadde planlagt å offentliggjøre feilene 22. oktober. Detaljer lekket tidlig, så PHPs vedlikeholdere slapp rettelsene en dag tidligere, rapporterte Mashable Ziff Davis, Inc. ↘ 0.31%. Wikimedia bekreftet at et Wikipedia-nedbrudd var knyttet til oppdateringsarbeidet, og Japans statsminister oppfordret offentlig nettstedseiere til å installere rettelsen.mashable.com

Et rammeverk i fem trinn

OpenAIs forslag består av fem trinn. Først må feilen valideres og rettes oppstrøms. Deretter gis berørte organisasjoner tid til å forberede seg, og statlige partnere involveres, som i PHP-tilfellet inkluderte Det hvite hus' Super Intelligence Force, Office of the National Cyber Director og CISA. Deretter forberedes oppdateringer for nedstrømsprodukter, før veiledning publiseres når en rettelse er klar. Under planen bestemmer vedlikeholdere hvem som får tidlig varsel, basert på hver organisasjons beskyttelsesrolle, hvor lang tid de trenger for å handle, og om de kan håndtere sensitiv informasjon, rapporterte Help Net Security.helpnetsecurity.com+1

OpenAI har også lovet 1 milliard dollar i subsidiert tilgang til Daybreak, deres sikkerhetsverktøy, for underfinansierte organisasjoner som beskytter kritiske tjenester. De ber nå om tilbakemeldinger på hvor lange offentliggjøringsvinduene bør være, og om myndigheter bør skanne internett og patche sårbare systemer selv.

Selskapet uttalte at PHP ikke vil være det siste tilfellet av denne typen. "Selv om disse feilene er betydelige, er de blant flere kritiske sårbarheter vi allerede har funnet og jobber med å fikse, og vi forventer at lignende funn vil øke kraftig i månedene som kommer," skrev OpenAI.openai.com