AI znalazła wieloletnią lukę w PHP, łatkę wydano wcześniej — TIME
Badacze z firmy Wiz za pomocą agenta AI wykryli lukę w PHP — języku programowania, od którego zależą WordPress, Drupal i, według źródła, nawet 70% internetu. Luka pozostawała niezauważona przez ponad dziesięć lat. Informuje o tym TIME.
Na początku sierpnia badacz Wiz Sagi Tzadik zlecił agentowi AI sprawdzenie, czy wcześniej znaną słabość WordPressa można zastosować przeciwko Drupalowi. Po ośmiu godzinach agent poinformował, że taka próba się nie powiodła, jednak podczas sprawdzania wykrył również problem w PHP. Tzadik początkowo przypuszczał, że model się pomylił, ale luka została potwierdzona.
Równoległe badania i pilna aktualizacja
Osobno badacze firmy Calif, którzy współpracowali z OpenAI, również za pomocą AI znaleźli powiązaną lukę. Po tym, jak Wiz i Calif przekazały raporty twórcom PHP, specjaliści obu firm połączyli siły, aby znaleźć wspólne źródło problemów i przygotować poprawkę.
W pracach uczestniczyło około 15 osób, które przez kilka tygodni kontaktowały się niemal codziennie. Dyrektor techniczny i współzałożyciel Wiz Tomer Schwartz zaznaczył, że współpraca między konkurującymi firmami odbywała się bez umów i opierała się na zaufaniu.
Więcej aktualnych wiadomości na kanale UA.News w Telegramie Telegram.
Wyciek szczegółów wywołał falę prób wykorzystania luki
Informacje o lukach zaczęły rozpowszechniać się w internecie na dwa dni przed planowanym wydaniem aktualizacji. Z tego powodu opiekunowie PHP przesunęli publikację łatki o jeden dzień wcześniej. Później Calif omyłkowo opublikowała nagranie wideo pokazujące działanie jej exploita, a liczba ponownych prób wykorzystania luki gwałtownie wzrosła.
Cloudflare odnotowała tysiące takich prób jeszcze przed publicznym ogłoszeniem, dziesiątki tysięcy w ciągu 45 minut po nim, setki tysięcy w ciągu dwóch godzin, a później ich liczba sięgnęła milionów. Nawet po wydaniu łatki niektóre strony, w tym witryny instytucji państwowych i części Wikipedii, tymczasowo przestawały działać jako środek ostrożności, podczas gdy zespoły bezpieczeństwa instalowały aktualizację.
Według Tzadika agenci AI umożliwiają równoległe testowanie wielu hipotez, skracając miesiące tradycyjnych badań do dni lub godzin. Jednocześnie po wykryciu problemu specjaliści Wiz poświęcili jeszcze kilka dni, aby zrozumieć jego mechanizm i go odtworzyć.
