Breșă critică în PHP: cum a expus o gafă de securitate 70% din internet
Descoperirea făcută de AI a declanșat o alertă globală Foto: Shutterstock
Avertismentele lansate în ultimele luni de experții în securitate cibernetică privind pericolele asociate inteligenței artificiale s-au concretizat miercuri într-o criză la scară mondială. Totul a pornit de la identificarea unor breșe de securitate în PHP, limbaj de programare integrat în circa 70% dintre paginile web existente. Erorile au fost depistate cu ajutorul instrumentelor AI, în urma unui demers desfășurat pe parcursul mai multor luni sub coordonarea OpenAI.
Situația a scăpat însă de sub control în momentul în care o companie de securitate cibernetică a decis să publice detaliile vulnerabilității înainte de expirarea termenului de embargo. Această acțiune prematură a lăsat o mare parte a internetului fără apărare în fața hackerilor, determinând agențiile de profil din Europa, Statele Unite, Regatul Unit, Canada și Australia să emită alerte de urgență. În lipsa unei soluții imediate, numeroase instituții guvernamentale și entități private au preferat să își deconecteze temporar site-urile pentru a evita compromiterea datelor.
Cum a fost încălcat protocolul de „dezvăluire coordonată”
În mod normal, gestionarea unor astfel de crize se bazează pe un mecanism esențial numit „dezvăluire coordonată”. Această practică le permite cercetătorilor și companiilor să colaboreze în secret pentru dezvoltarea unei soluții tehnice și să informeze confidențial autoritățile. Astfel, administratorii de sistem primesc timpul necesar pentru a instala actualizările de securitate înainte ca existența breșei să devină publică și să fie exploatată de infractorii cibernetici.
În cazul PHP, acest scut de protecție a fost compromis de compania Chainguard. Potrivit reprezentanților Fundației PHP, firma respectivă a „încălcat unilateral embargoul”, anulând astfel „săptămâni de muncă depusă de numeroase părți pentru o dezvăluire coordonată”. Într-un răspuns transmis prin e-mail pentru publicația POLITICO , directorul executiv al Fundației PHP, Elizabeth Barron, s-a declarat „dezamăgită” de gestul Chainguard, exprimându-și totodată speranța că încrederea reciprocă va putea fi refăcută pe viitor pentru a permite continuarea unei colaborări eficiente.
Directorul general al Chainguard, Dan Lorenc, și-a asumat declanșarea acestei reacții în lanț și și-a prezentat rapid scuzele printr-un mesaj publicat pe rețeaua LinkedIn. Ulterior, într-un interviu acordat joi pentru POLITICO, acesta și-a nuanțat poziția, susținând că a decis publicarea informațiilor deoarece breșa era deja exploatată activ. Deși afirmația sa a fost contrazisă de alți specialiști, Lorenc a argumentat că avea suficiente dovezi pentru a rupe embargoul. El a respins ideea că decizia sa ar fi încurcat alte echipe de apărare cibernetică, dar a admis că pragul de dovezi necesar pentru un asemenea pas reprezintă o „zonă gri” în cadrul procedurilor de apărare coordonată.
Val de atacuri: de la mii la milioane de tentative în câteva ore
Odată ce informația a devenit publică, reacția atacatorilor a fost aproape instantanee. Matthew Prince, directorul general al Cloudflare – una dintre principalele companii care asigură protecția site-urilor web la nivel global și care are o vizibilitate extinsă asupra traficului malițios –, a anunțat joi dimineață, pe platforma X, că sistemele sale au înregistrat „milioane” de încercări de exploatare a breșei din PHP.
Datele prezentate de Prince ilustrează viteza cu care s-a propagat amenințarea: dacă în cele zece ore anterioare anunțului public au fost detectate mii de tentative de atac, numărul lor a urcat la zeci de mii în primele 45 de minute după dezvăluire. În două ore se înregistrau deja sute de mii de încercări, pentru ca ulterior acestea să atingă ordinul milioanelor. La rândul său, divizia de cloud a gigantului Amazon a confirmat că vulnerabilitatea este „exploatată pe scară largă în mediul real”.
Cu toate acestea, în primele ore ale crizei nu au fost raportate pagube majore. Thomas Caspers, vicepreședintele agenției germane pentru securitate cibernetică (BSI), a confirmat că instituția pe care o reprezintă a detectat atacuri, dar niciunul nu a reușit să treacă de sistemele de apărare. „Se pare că exploatarea este puțin mai complicată decât ne așteptam”, a precizat oficialul german.
Pentru autorități, criza PHP s-a suprapus peste alte urgențe majore. Un înalt oficial american din domeniul securității cibernetice a dezvăluit că agențiile federale din SUA au fost copleșite de volumul incidentelor. În aceeași zi, specialiștii la nivel global încercau simultan să rezolve vulnerabilități depistate în Node.js (un mediu de execuție extrem de popular pentru JavaScript), dar și în produse aparținând companiilor Oracle, GitHub și Fortinet.
„Departamentul de pompieri se luptă cu mai multe incendii simultan”, a descris situația oficialul guvernamental american, adăugând însă că, din fericire, toate aceste „incendii” se limitează la nivelul unor clădiri cu un singur etaj, reprezentând un tip de intervenție cu care echipele se confruntă zilnic.
Cum a schimbat inteligența artificială regulile jocului
Evenimentele desfășurate pe parcursul celor 72 de ore demonstrează cât de fragile pot fi procedurile clasice de securitate în fața noilor tehnologii care amplifică riscurile. Eylam Milner, cofondator și director de tehnologie al start-upului de profil Echo, a subliniat gravitatea momentului: „Asta se întâmplă atunci când inteligența artificială descoperă o vulnerabilitate care s-a ascuns ani întregi”. Potrivit acestuia, erorile de acest tip sunt „printre cele mai grave care pot afecta internetul”.
Rădăcinile acestei crize coboară până în luna aprilie, când compania Anthropic a prezentat modelul avansat de inteligență artificială Mythos. Lansarea a generat temeri în rândul experților, care au avertizat că sistemele informatice ar putea fi copleșite rapid de capabilitățile AI, cu efecte catastrofale. Deși în lunile următoare modelele lansate de Anthropic, OpenAI și alte companii au ajutat cercetătorii să identifice diverse breșe, impactul acestora în lumea reală a rămas redus. Chiar și un incident intens mediatizat, legat de platforma Hugging Face – în care agenți autonomi ai OpenAI au acționat în afara parametrilor așteptați în timpul unor teste interne –, a ridicat mai degrabă semne de întrebare privind controlul companiilor asupra propriilor creații, decât asupra capacității AI de a sparge sisteme la nivel global.
Descoperirea breșei din PHP a schimbat însă complet paradigma, iar OpenAI avertizează că acesta este doar începutul unui val mult mai amplu. „Aceste vulnerabilități se numără printre mai multe probleme semnificative pe care le-am identificat deja și la care lucrăm pentru a le remedia. Ne așteptăm ca descoperirile similare să crească puternic în următoarele luni”, au transmis reprezentanții OpenAI într-un comunicat dat publicității miercuri.
Avertismentul agențiilor europene: „Aplicați patch-uri!”
Oficialii europeni confirmă că avansul inteligenței artificiale a modificat radical modul în care sunt apărate rețelele informatice, tehnologia fiind capabilă atât să găsească puncte slabe, cât și să le exploateze la scară largă. Matthijs van Amelsfort, șeful agenției olandeze pentru securitate cibernetică, a subliniat că evoluția actuală era previzibilă: „De îndată ce au apărut modelele de vârf, exact asta am spus: aceasta va fi tendința. Și, de fapt, asta se întâmplă acum.”
Opinia este împărtășită și de omologul său german, Thomas Caspers, care anticipează o înmulțire a acestor situații: „Ne așteptăm ca acest lucru să se întâmple din ce în ce mai des în următoarele luni”. Acesta a explicat că viteza și ușurința cu care AI poate exploata o breșă făcută publică au forțat autoritățile să recomande oprirea temporară a site-urilor, o decizie catalogată drept „o măsură cu adevărat drastică”. „Nu am fi făcut asta acum câțiva ani”, a punctat vicepreședintele BSI.
Deși protocoalele tradiționale au reușit în cele din urmă să prevină un scenariu dezastruos în care hackerii ar fi preluat controlul asupra site-urilor și bazelor de date, specialiștii atrag atenția că apărarea sistemelor depinde în continuare de măsurile de bază. Agențiile de securitate le cer organizațiilor să instaleze de urgență actualizările (patch-urile) puse la dispoziție de Fundația PHP.
Mesajul transmis administratorilor de sisteme de către Matthijs van Amelsfort este unul categoric: „Există trei lucruri pe care trebuie să le faceți chiar acum. Și acestea sunt: aplicați patch-uri, aplicați patch-uri și aplicați patch-uri.”
Explorează subiectele:
