Cloudflaren toimitusjohtaja sanoo tekoälyn murtavan internetin viikoittain kahden vuoden ajan

Cloudflaren toimitusjohtaja Matthew Prince kertoi Reutersille, että viikoittaisia tietoturvapaniikkeja voi odottaa parin vuoden ajan muutaman päivän kuluttua siitä, kun tekoälyavusteinen PHP-tutkimus poisti GOG:n käytöstä.

Sekoituksen aiheuttaneet virheet sijaitsevat itse PHP:ssä, eivätkä sen päälle rakennetuissa sivustoissa, ja PHP käyttää 69,3% verkkosivustoista, joiden palvelinpuolen kieli on tunnettu. Princen mukaan hänen yrityksensä tietää jo vakavammista puutteista muissa kriittisissä ohjelmistoissa. Tällä viikolla muuttunut osa oli se, kuinka nopeasti kuka tahansa voi muuttaa aukon toimivaksi hyökkäykseksi.

Wiz Research julkaisi löydökset 21. lokakuuta nimellä PHP2Shell, ja ne ryhmiteltiin kahteen CVE-haavoittuvuuteen, joiden vakavuusaste oli CVSS 9.2. Jokainen viimeisen vuosikymmenen PHP-julkaisu on kärsinyt ainakin yhdestä näistä haavoittuvuuksista, alkaen versiosta 5.4. Haavoittuvuudet ovat muistin turvallisuusongelmia siinä, miten hakumoottori käsittelee kohtalokkaita virheitä, ja ne antavat todentamattoman hyökkääjän lukea prosessimuistia tai suorittaa koodia palvelimella. Kyseinen muisti voi sisältää salasanoja, todennustunnuksia, API-avaimia ja muihin pyyntöihin kuuluvia varmenteita. Tutkimusryhmä osoitti todennusta edeltävän etäkoodin suorittamisen nykyisiä WordPress-, Drupal- ja Joomla-säilöjä vasten ja huomautti, että ohjelmiston valinta oli mielivaltainen, koska tavallinen hello-world-sivu haavoittuvassa PHP-versiossa paljastuu samalla tavalla. PHP-tiimi lähetti korjauspäivityksen samana päivänä.

Haavoittuva koodi oli lojunut siellä yli kymmenen vuotta ilman, että kukaan olisi muuttanut sitä käyttökelpoiseksi hyväksikäytöksi. Yhden luominen tarkoitti useiden bugien ketjuttamista ja sopeutumista kunkin kohteen muistinjakoon, mikä oli hidasta ja erikoistunutta työtä, joka aiemmin piti virheet teoreettisina.

”Rajatyömallit olivat ratkaisevan tärkeitä tämän prosessin käytännönläheisyyden kannalta, sillä niiden avulla pystyimme kehittämään ja mukauttamaan toimivia hyödyntämiskeinoja useissa sovelluksissa tunneissa.”

— Wiz-tutkimus

Wiz nimesi käyttämänsä mallit. Gemini 4 Argonille annettiin tunnustusta haavoittuvuuksien löytämiseen, hyödyntämiseen ja korjauspäivitysten validointiin liittyvistä panoksista. Google DeepMindin Raluca Ada Popa puolestaan kehysteli tulosta tekoälyn kaltaiseksi rajaseudun toiminnaksi, joka paikasi aukon, jonka kanssa puolustajat olivat eläneet vuosikymmenen ajan. Sama mekanismi toimii kaikille toisella puolella oleville. Princen Reutersille antama argumentti on, että haavoittuvuuksien löytämisen katto oli ennen se, kuinka monta asiantuntijaa oli valmis käyttämään kuukausia siihen, ja tämä katto on nyt poissa.

"Luulen, että meillä tulee olemaan pari vuotta, jolloin joka ikinen viikko tuntuu kuin taivas putoaisi alas."

— Matthew Prince

Cloudflare on 86,0%:n käänteistä välityspalvelinta käyttävien verkkosivustojen kärjessä, mikä vastaa 27,9%:a verkosta. Listalle kuuluvat Epicgames.com, Spotify, Shopify ja X. Se on myös tehnyt kuusi kuukautta omaa tekoälyyn liittyvää uudelleenjärjestelyään. Toukokuussa se irtisanoi 1 100 sähköpostin kautta työskentelevää työntekijää, mikä on noin 20% yrityksestä. Princen muistiossa kuvaillaan siirtymistä tekoälyagenttien aikakauteen kustannusleikkausten sijaan. Yrityksen sisäinen tekoälyn käyttö oli noussut yli 600% edellisen kolmen kuukauden aikana. Mies, joka ennustaa kahden vuoden tekoälypohjaista murtumista, johtaa yritystä, joka panostaa henkilöstömääränsä samaan teknologiaan.

__LYHYTKOODIN_TUNNUS_0__

GOG ilmoitti kello 8.00 Tyynenmeren aikaa, että sen myymälä ja GOG Galaxy olisivat poissa käytöstä muutaman tunnin huoltotöiden vuoksi. Syytä ei mainittu, ja palasi noin neljä tuntia myöhemmin repliikillä siitä, mihin asiaan sähkökatkos ei voi koskea.

"DRM-vapaa kirjastosi on juuri siinä missä sen jätit."

— GOG

Final Fantasy 14:n kirjautumispalvelimet kaatuivat samassa ikkunassa, ja Suomen hallitus poisti verkkosivustoja varotoimenpiteenä. Yhdenkään näistä palveluista ei tarvinnut suorittaa haavoittuvaa koodia, jotta päätös olisi järkevä; kahden kolmasosan verkon käyttämän kielen korjaaminen on nopeampaa valojen sammuttamisen jälkeen.

Minua kiinnostaa enemmän versioiden jakautuminen kuin päivityksen päivämäärä. PHP 8 kattaa 65,4% PHP-sivustoista, mikä jättää 26,8% versiolle 7 ja 7,7% edelleen versiolle 5. Nämä ovat sivustojen ylläpitäjiä, joilla on vähiten todennäköisyyttä, että kukaan lukee keskiviikkoisin paljastusblogia. 21. lokakuuta julkaistu päivitys suojaa vain niitä palvelimia, jotka sen ottavat, ja loput pysyvät auki niin kauan kuin kukaan ei koske niihin.

Peliteollisuuden koko kuukauden ajan käymä tekoälyargumentti koskee eri konetta. Masahiro Sakurai sanoi tällä viikolla, että generatiiviset työkalut nostavat Steamin yli tänä vuonna myytyjen 19 000 pelin rajan, kun vuonna 2010 määrä oli 275, ja että suurin osa julkaistavista peleistä on kannattamattomia kopioita järjestelmistä, joita muut pelit jo käyttävät. Hänen huolensa on myymälä, jota kukaan ei pysty lukemaan läpi. PHP:n paljastus koskee samaa infrastruktuuriin kohdistuvaa ominaisuutta, jossa ongelma ei ole tulostusmäärä, vaan yksittäinen toimiva ketju.

Epic Games ilmoitti 12. marraskuuta järjestettävästä tekoäly MegaJamista, jossa jokaiselle ensimmäisen sijan saaneelle kategorian voittajalle on palkintona 7 500 dollaria ja jatkoapurahoja jopa 50 000 dollaria. Tämän jälkeen se poisti hiljaisesti usein kysytyt kysymykset -rivin, jossa osallistujille kerrottiin, että tekoälyn käyttö on pakollista. Epicgames.com on yksi Princen ylläpitämän välityspalvelimen takana olevista sivustoista, joka puolestaan sulautti tekoälyn tällä viikolla, eikä se pyörittänyt jamia.

Xboxin vanhempi liiketoimintastrategiapäällikkö Brandon Stirrup esitti vahvimman version valmistajan väitteestä 18. lokakuuta kirjoittaessaan, että kuka tahansa voi rakentaa tekoälyllä varustetun pelin kahden päivän prototyypin perusteella noin kolmen tunnin työllä ja sitten poistaa tilinsä päivässä. Pidän valmistajan argumenttia tällä viikolla vähemmän mielenkiintoisena kuin rikkojaa koskevaa argumenttia, koska jamipalkinto ja poistettu ketju ovat mielipiteitä ja CVSS 9.2 suurimmassa osassa verkkoa käytettävällä kielellä on demonstraatio.

Prince odottaa syklin päättyvän johonkin hyödylliseen paikkaan. Hänen kantansa on, että nyt esiin nousevat virheet korjataan ja että ohjelmistot tulevat kahden seuraavan vuoden aikana ulos turvallisempina kuin ne tulivat. Tämä on pitkän aikavälin väite, joka on liitetty lyhyen aikavälin ohjeeseen, jonka mukaan selaimet ja asiakasohjelmat on pidettävä ajan tasalla ja seuraavien kuukausien katkosilmoituksia käsitellään rutiinina. Mieluummin näkisin tylsiä korjaussyklejä kuin puhtaamman koodikannan vuonna 2028, ja ennuste on jälkimmäinen.

Cloudflare ei ole kertonut, mitä muita kriittisiä ohjelmistoja se tarkkailee. Wiz on sanonut, että sen raportoimat PHP-variantit eivät ole ainoita koodikannassa, vaikka lokakuun päivitys sulkee luokan juuritasolla.