Генеральный директор Cloudflare заявил, что искусственный интеллект будет еженедельно ломать интернет в течение двух лет.

Генеральный директор Cloudflare Мэтью Принс заявил агентству Reuters, что следует ожидать еженедельных паник в сфере безопасности в течение нескольких лет, спустя несколько дней после того, как исследование PHP с использованием искусственного интеллекта привело к отключению GOG.

Уязвимости, вызвавшие ажиотаж, находятся в самом PHP, а не на сайтах, построенных на его основе, и PHP используется на 69,3% веб-сайтов, для которых известен язык программирования серверной части. Принс говорит, что его компания уже знает о более серьезных уязвимостях в другом критически важном программном обеспечении. Изменилось то, как быстро любой может превратить уязвимость в работающую атаку.

Компания Wiz Research опубликовала результаты исследования 21 октября под названием PHP2Shell, разделив их на две уязвимости CVE с уровнем серьезности, достигающим CVSS 9.2. Каждая версия PHP за последнее десятилетие, начиная с версии 5.4, подвержена как минимум одной из них. Эти ошибки связаны с проблемами безопасности памяти в обработке критических ошибок движком и позволяют неаутентифицированному злоумышленнику читать память процесса или выполнять код на сервере. В памяти могут храниться пароли, токены аутентификации, ключи API и сертификаты, относящиеся к другим запросам. Исследовательская группа продемонстрировала удаленное выполнение кода до аутентификации в текущих контейнерах WordPress, Drupal и Joomla и подчеркнула, что выбор программного обеспечения был произвольным, поскольку обычная страница "hello-world" в затронутой версии PHP раскрывается таким же образом. Команда PHP выпустила патч в тот же день.

Уязвимый код пролежал без дела более десяти лет, и никто не смог превратить его в работоспособный эксплойт. Создание эксплойта означало цепочку из нескольких ошибок и адаптацию к особенностям организации памяти каждой целевой системы, что является медленной, специализированной работой, из-за которой раньше уязвимости оставались лишь теоретическими.

«Модели передовых технологий сыграли решающую роль в обеспечении практической осуществимости этого процесса, позволив нам за несколько часов разработать и адаптировать работающие эксплойты для множества приложений».

— Wiz Research

Компания Wiz назвала модели, которые она использовала, отметив вклад Gemini 4 Argon в обнаружение уязвимостей, разработку эксплойтов и проверку патчей, а Ралука Ада Попа из Google DeepMind охарактеризовала результат как передовой ИИ, закрывающий пробел, с которым защитники мирились в течение десяти лет. Тот же механизм работает для любой стороны. Аргумент Принса агентству Reuters заключается в том, что раньше пределом обнаружения уязвимостей было количество экспертов, готовых потратить на это месяцы, и этот предел исчез.

«Думаю, нас ждут несколько лет, когда каждую неделю будет казаться, что мир рушится».

— Мэтью Принс

Cloudflare используется для защиты 86% веб-сайтов, применяющих обратный прокси, что составляет 27,9% всего интернета, и в этот список входят Epicgames.com, Spotify, Shopify и X. Кроме того, компания уже шесть месяцев проводит собственную реструктуризацию, связанную с ИИ, сократив в мае 1100 сотрудников по электронной почте, что составляет около 20% от общего числа сотрудников. В служебной записке Принса описывается переход в эру ИИ-агентов, а не сокращение расходов. Внутреннее использование ИИ в компании выросло более чем на 600% за предыдущие три месяца. Человек, прогнозирующий два года сбоев, вызванных ИИ, руководит компанией, которая сделала ставку на эту технологию, увеличив штат сотрудников.

__КОРОТКИЙ_ТОКЕН_0__

В 8 утра по тихоокеанскому времени компания GOG объявила, что ее магазин и GOG Galaxy будут недоступны в течение нескольких часов из-за технических работ, не назвав причину, и примерно через четыре часа вернулась с заявлением о том, чего нельзя коснуться во время отключения электроэнергии.

«Ваша библиотека файлов без DRM находится там, где вы её оставили».

— GOG

В тот же период серверы авторизации Final Fantasy 14 вышли из строя, и правительство Финляндии в качестве меры предосторожности закрыло некоторые веб-сайты. Для того чтобы это решение имело смысл, ни один из этих сервисов не должен был работать с уязвимым кодом; обновление языка, используемого двумя третями веб-ресурсов, происходит быстрее, когда веб-серверы отключены.

Меня больше волнует разделение по версиям, чем дата выхода патча. PHP 8 охватывает 65,4% сайтов, использующих PHP, что оставляет 26,8% на версии 7 и 7,7% по-прежнему на версии 5, и это те хостинги, где вряд ли кто-то будет читать блог с информацией о раскрытии данных в среду. Патч, выпущенный 21 октября, защищает только те серверы, которые его установили, а остальные остаются открытыми до тех пор, пока их никто не трогает.

Весь месяц в игровой индустрии ведётся спор об искусственном интеллекте, который касается другой машины. Масахиро Сакураи на этой неделе заявил, что генеративные инструменты позволят Steam превысить отметку в 19 000 игр, которые были добавлены в этом году, по сравнению с 275 в 2010 году, и что большая часть новых игр будет нерентабельными копиями систем, которые уже используются другими играми. Его беспокоит витрина магазина, которую никто не сможет прочитать. Раскрытие информации о PHP — это та же самая возможность, направленная на инфраструктуру, где объём выпускаемой информации не является проблемой, а важна единая рабочая цепочка.

Компания Epic Games анонсировала свой мега-турнир по искусственному интеллекту (AI MegaJam), который состоится 12 ноября. Победитель в каждой категории получит по 7500 долларов, а также предусмотрены гранты на продолжение участия до 50 000 долларов. После этого компания незаметно удалила раздел часто задаваемых вопросов (FAQ), в котором участникам сообщалось, что им необходимо использовать ИИ. Сайт Epicgames.com входит в список сайтов, работающих за прокси-сервером, управляемым Prince, — именно эта часть стека была поглощена на этой неделе, а не та, которая управляет турниром.

Старший менеджер по бизнес-стратегии Xbox Брэндон Стиррап 18 октября выдвинул наиболее убедительную версию утверждения о том, что любой может создать игру с ИИ, используя двухдневный прототип, на разработку которого уйдет около трех часов, а затем удалил свой аккаунт в течение дня. На этой неделе аргумент о «мейкерах» мне кажется менее интересным, чем аргумент о «взломщиках», потому что приз за участие в джеме и удаленная тема — это всего лишь мнения, а CVSS 9.2 на языке, используемом в большинстве сайтов, — это демонстрация.

Принс действительно ожидает, что цикл завершится где-то полезным образом. Его позиция заключается в том, что выявляемые сейчас недостатки будут исправлены, и что программное обеспечение через два года станет более безопасным, чем было до этого. Это долгосрочное утверждение, подкрепленное краткосрочным указанием: поддерживать актуальность браузеров и клиентов и рассматривать уведомления о сбоях в течение следующих нескольких месяцев как нечто обыденное. Я бы предпочел скучные циклы исправлений, чем более чистый код в 2028 году, и предлагаемый прогноз относится ко второму варианту.

Cloudflare не сообщила, за какими еще критически важными программами она следит. Wiz заявила, что указанные ею варианты PHP — не единственные в кодовой базе, хотя октябрьский патч закрывает этот класс в корне.