Dyrektor generalny Cloudflare twierdzi, że sztuczna inteligencja będzie co tydzień przez dwa lata niszczyć Internet

Dyrektor generalny Cloudflare, Matthew Prince, powiedział agencji Reuters, że należy spodziewać się cotygodniowych ataków paniki na bezpieczeństwo, które będą miały miejsce przez kilka lat. Stało się to kilka dni po tym, jak badania nad PHP wspomagane sztuczną inteligencją spowodowały wyłączenie GOG-a.

Wady, które spowodowały ten błąd, tkwią w samym PHP, a nie w żadnej witrynie zbudowanej na nim, a PHP obsługuje 69,3% witryn, których język programowania po stronie serwera jest znany. Prince twierdzi, że jego firma wie już o poważniejszych lukach w innym krytycznym oprogramowaniu. W tym tygodniu zmieniło się to, jak szybko ktokolwiek może przekształcić lukę w działający atak.

Firma Wiz Research opublikowała wyniki 21 października pod nazwą PHP2Shell, pogrupowane w dwa luki CVE o poziomie ważności sięgającym CVSS 9.2. Każda wersja PHP z ostatniej dekady, począwszy od wersji 5.4, jest dotknięta co najmniej jednym z nich. Błędy te dotyczą bezpieczeństwa pamięci w sposobie, w jaki silnik obsługuje błędy krytyczne, i pozwalają nieuwierzytelnionemu atakującemu na odczytanie pamięci procesu lub uruchomienie kodu na serwerze. Pamięć, o której mowa, może przechowywać hasła, tokeny uwierzytelniające, klucze API i certyfikaty należące do innych żądań. Zespół badawczy zademonstrował zdalne wykonanie kodu przed uwierzytelnieniem w obecnych kontenerach WordPress, Drupal i Joomla, podkreślając, że wybór oprogramowania był arbitralny, ponieważ zwykła strona „hello-world” w dotkniętej luką wersji PHP jest narażona na atak w ten sam sposób. Zespół PHP udostępnił poprawkę tego samego dnia.

Podatny na ataki kod tkwił tam przez ponad dziesięć lat, a nikt nie przekształcił go w użyteczny exploit. Stworzenie takiego exploita wymagało połączenia kilku błędów i dostosowania się do sposobu, w jaki każdy cel rozmieszcza pamięć, co jest powolną, specjalistyczną pracą, która dawniej utrzymywała luki w teorii.

„Modele Frontier odegrały kluczową rolę w praktycznym zastosowaniu tego procesu, umożliwiając nam opracowanie i dostosowanie działających exploitów w wielu aplikacjach w ciągu zaledwie kilku godzin”.

— Wiz Research

Wiz wymienił użyte modele, przy czym Gemini 4 Argon przypisuje sobie wkład w odkrywanie luk, rozwój exploitów i walidację poprawek, a Raluca Ada Popa z Google DeepMind określiła wynik jako pionierską sztuczną inteligencję, która wypełniła lukę, z którą obrońcy musieli się zmagać przez dekadę. Ten sam mechanizm działa po drugiej stronie. Prince argumentuje agencji Reuters, że limitem wykrywania luk w zabezpieczeniach była kiedyś liczba ekspertów gotowych poświęcić na to miesiące, a ten limit już nie istnieje.

„Myślę, że czekają nas dwa lata, w których co tydzień będziemy mieć wrażenie, że niebo się wali”.

— Matthew Prince

Cloudflare wyprzedza 86,0% stron internetowych korzystających z odwrotnego proxy, co daje 27,9% udziału w sieci, a na liście znajdują się Epicgames.com, Spotify, Shopify i X. Firma jest również od sześciu miesięcy w trakcie własnej restrukturyzacji związanej ze sztuczną inteligencją, zwalniając w maju 1100 pracowników drogą mailową, co stanowi około 20% firmy. Notatka Prince'a opisuje przejście w erę agentów AI, a nie redukcję kosztów. Wewnętrzne wykorzystanie sztucznej inteligencji w firmie wzrosło o ponad 600% w ciągu ostatnich trzech miesięcy. Człowiek, który przewiduje dwa lata kryzysu spowodowanego przez sztuczną inteligencję, kieruje firmą, która stawia na tę samą technologię.

O godzinie 8 rano czasu pacyficznego GOG ogłosił, że zarówno jego sklep, jak i GOG Galaxy zostaną wyłączone z powodu kilkugodzinnej konserwacji. Nie podano powodu i po około czterech godzinach firma wróciła z informacją o tym, że awaria nie jest w stanie nic zrobić.

„Twoja biblioteka wolna od DRM jest dokładnie tam, gdzie ją zostawiłeś”.

— GOG

W tym samym czasie serwery logowania do Final Fantasy 14 przestały działać, a rząd Finlandii prewencyjnie usunął strony internetowe. Żadna z tych usług nie musiała uruchamiać podatnego kodu, aby decyzja miała sens; łatanie języka używanego przez dwie trzecie sieci jest szybsze przy wyłączonym oświetleniu.

Bardziej interesuje mnie podział wersji niż data wydania poprawki. PHP 8 obejmuje 65,4% witryn PHP, co oznacza, że 26,8% nadal korzysta z wersji 7, a 7,7% z wersji 5, a to właśnie u tych hostów prawdopodobieństwo, że ktoś przeczyta wpis na blogu w środę, jest najmniejsze. Poprawka wydana 21 października chroni tylko te serwery, które ją zaakceptują, a reszta pozostaje aktywna tak długo, jak długo nikt ich nie dotyka.

Argument o sztucznej inteligencji, który branża gier toczy od miesiąca, dotyczy innej maszyny. Masahiro Sakurai powiedział w tym tygodniu, że narzędzia generatywne sprawią, że Steam przekroczy liczbę 19 000 gier, które w tym roku przejął, w porównaniu z 275 w 2010 roku, i że większość z nich będzie nierentownymi kopiami systemów, z których korzystają już inne gry. Jego zmartwieniem jest witryna sklepowa, której nikt nie będzie w stanie odczytać. Ujawnienie PHP dotyczy tej samej możliwości, która dotyczy infrastruktury, gdzie problemem nie jest wolumen produkcji, a pojedynczy łańcuch operacyjny.

Epic Games ogłosiło konkurs AI MegaJam na 12 listopada, z nagrodą 7500 dolarów dla każdego zwycięzcy w danej kategorii oraz grantami do 50 000 dolarów, a następnie po cichu usunęło linię FAQ informującą uczestników o konieczności korzystania ze sztucznej inteligencji. Epicgames.com znajduje się na liście stron internetowych korzystających z warstwy proxy zarządzanej przez Prince'a, która jest częścią stosu, która została wchłonięta w tym tygodniu, a nie tą, która zarządzała jamem.

Brandon Stirrup, starszy menedżer ds. strategii biznesowej w Xbox, przedstawił najmocniejszą wersję twierdzenia twórców 18 października, publikując wpis, w którym stwierdził, że każdy może stworzyć grę z SI na podstawie dwudniowego prototypu, wymagającego około trzech godzin pracy, a następnie usunął swoje konto w ciągu jednego dnia. Argument twórców wydaje mi się w tym tygodniu mniej interesujący niż ten, który przełamuje schemat, ponieważ nagroda w konkursie i usunięty wątek to opinie, a CVSS 9.2 w języku używanym w większości stron internetowych to demonstracja.

Prince spodziewa się, że cykl zakończy się w korzystnym momencie. Jego zdaniem ujawniane teraz błędy zostaną załatane, a oprogramowanie w ciągu najbliższych dwóch lat będzie bezpieczniejsze niż na początku. To długoterminowe zobowiązanie, powiązane z krótkoterminowym zaleceniem, które ma na celu aktualizowanie przeglądarek i klientów oraz traktowanie powiadomień o awariach przez kolejne kilka miesięcy jako rutyny. Wolałbym nudne cykle poprawek niż czystszą bazę kodu w 2028 roku, a przedstawiona prognoza jest drugą z tych możliwości.

Cloudflare nie ujawniło, które inne krytyczne elementy oprogramowania monitoruje. Wiz powiedział, że zgłoszone przez niego warianty PHP nie są jedynymi w bazie kodu, chociaż październikowa poprawka zamyka tę klasę u jej podstaw.