ИИ превратил старые дыры в PHP в сегодняшний кризис безопасности

На этой неделе команды по кибербезопасности и администраторы веб-серверов по всему миру в авральном порядке латали свежеопубликованные уязвимости в PHP — одном из самых распространённых языков веб-программирования. Как только информация о дырах стала публичной, криминальные хакеры немедленно попытались использовать их в реальных атаках. По данным Cloudflare, в течение нескольких часов после публикации уязвимостей было зафиксировано миллионы попыток эксплуатации. Удивляться тут особо нечему: широкий доступ к инструментам искусственного интеллекта заметно упрощает злоумышленникам задачу быстрого подбора эксплойтов.

Пока, впрочем, сценарий массового захвата серверов и крупных утечек не реализовался. Фонд PHP Foundation сообщает, что не зафиксировал ни одного успешного взлома через уязвимости, получившие общее название PHP2Shell, а многие из гуляющих по сети потенциальных эксплойтов, судя по всему, просто не работают. Но самое любопытное в этой истории — роль передовых моделей ИИ в обнаружении уязвимостей. Именно они помогли исследователям найти практические способы эксплуатации дыр, которые были известны, по крайней мере частично, на протяжении многих лет. Иными словами, ИИ превратил давнюю проблему в сегодняшний кризис.

Так что же, всех нас вот-вот накроет волна критических уязвимостей, которые десятилетиями тихо дремали в коде? Исследователи из компании Calif первыми выявили уязвимости PHP2Shell и создали эксплойты в начале августа. Работали они частично с помощью передовых ИИ-инструментов в рамках программы Patch the Planet от OpenAI, но при этом опирались и на глубокие человеческие знания о PHP, его устройстве и слабых местах. Некоторые из лежащих в основе проблем были выявлены ещё в 2024 году, однако тогда их сочли слишком сложными для эксплуатации. После открытия Calif исследователи из OpenAI и принадлежащей Google компании Wiz независимо друг от друга обнаружили те же изъяны PHP2Shell, используя инструменты ИИ.

«Об уязвимости команде PHP было известно годами, но поскольку атакующий — по крайней мере человек — не мог ею воспользоваться, её не устраняли», — говорит Саги Цадик, исследователь безопасности в Wiz. Идеального софта не существует, и даже в самых критичных, основополагающих цифровых инструментах неизбежно есть изъяны. Однако растущие возможности ИИ-моделей ускоряют анализ и потенциальную эксплуатацию уязвимостей. Это создаёт дополнительное давление на команды айтишников, разработчиков и администраторов, у которых и без того не хватает ресурсов.

Только в этом месяце обновления безопасности Microsoft включили рекордные 1453 уязвимости. А Bank of America недавно нанял тысячу консультантов, чтобы устранить изъяны, обнаруженные системой Mythos от Anthropic. При этом специалисты по безопасности подчёркивают: по сути, ИИ не делает ничего принципиально нового — он лишь усиливает уже существующую динамику обнаружения уязвимостей и скоординированного раскрытия информации. «Мы наверняка увидим ещё немало таких долгоживущих багов, которые присутствуют в каждой версии софта последнее десятилетие или около того, — говорит Джейк Уильямс, вице-президент по исследованиям и разработке в Hunter Strategy и бывший хакер АНБ. — Но думаю, что этого низко висящего плода не так уж много. Мало что ещё обладает столь же широким охватом, как PHP. Это довольно дикая поверхность атаки — большинство других инструментов по своему устройству просто не выставлены в интернет».

Исследователи отмечают и другое: даже с передовыми моделями большинство примеров изощрённого взлома с помощью ИИ всё равно предполагают участие человека-эксперта. Как написал на этой неделе Райан Остин, исследователь из Calif, первым обнаруживший изъяны в PHP, ни одна модель не способна просто по незамысловатым подсказкам выкопать «все баги». По крайней мере, пока. Короче говоря, считает инженер и исследователь по безопасности Нильс Провас, всем стоит немного сбавить панику. «Честно говоря, я не особенно волнуюсь», — говорит он о перспективе того, что ИИ найдёт лавину давних уязвимостей, которые вдруг станут эксплуатируемыми, или отыщет новые дыры, практическое использование которых без ИИ было бы невозможно. «Люди ищут с помощью ИИ уже больше года, и для того, чтобы найти эту уязвимость, понадобилась команда высококлассных специалистов. Посмотрим, окажусь ли я полностью неправ, но я в этом сомневаюсь».