ИИ нашёл давнюю уязвимость PHP, патч выпустили раньше — TIME
Исследователи компании Wiz с помощью ИИ-агента обнаружили уязвимость в PHP — языке программирования, от которого зависят WordPress, Drupal и, по оценке источника, до 70% веба. Уязвимость оставалась незамеченной более десяти лет. Об этом сообщает TIME.
В начале августа исследователь Wiz Саги Цадик поручил ИИ-агенту проверить, можно ли применить ранее найденную слабость WordPress против Drupal. Через восемь часов агент сообщил, что такая попытка не удалась, однако во время проверки он также обнаружил проблему в PHP. Сначала Цадик предположил, что модель ошиблась, но уязвимость подтвердилась.
Параллельное исследование и срочное обновление
Отдельно исследователи компании Calif, работавшие с OpenAI, также с помощью ИИ нашли связанную уязвимость. После того как Wiz и Calif направили отчёты разработчикам PHP, специалисты обеих компаний объединились, чтобы найти общий источник проблем и подготовить исправление.
В работе участвовали около 15 человек, которые в течение нескольких недель общались почти ежедневно. Технический директор и сооснователь Wiz Томер Шварц отметил, что сотрудничество между конкурирующими компаниями происходило без контрактов и основывалось на доверии.
Больше актуальных новостей — в Telegram-канале UA.News Telegram.
Утечка деталей вызвала волну попыток эксплуатации
Информация об уязвимостях начала распространяться в интернете за два дня до запланированного выхода обновления. Из-за этого сопровождающие PHP перенесли релиз патча на день раньше. Позднее Calif по ошибке опубликовала видео, в котором демонстрировалась работа её эксплойта, и количество повторных попыток эксплуатации резко выросло.
Cloudflare зафиксировала тысячи таких попыток ещё до публичного объявления, десятки тысяч — в течение 45 минут после него, сотни тысяч — за два часа, а позже их число достигло миллионов. Даже после выхода патча некоторые сайты, в том числе страницы государственных учреждений и части Википедии, временно прекращали работу в качестве меры предосторожности, пока команды безопасности устанавливали обновление.
По словам Цадика, ИИ-агенты позволяют параллельно тестировать множество гипотез, сокращая месяцы традиционных исследований до дней или часов. В то же время после обнаружения проблемы специалисты Wiz потратили ещё несколько дней, чтобы разобраться в её механизме и воспроизвести её.
