W tym tygodniu firmy i instytucje rządowe w pośpiechu łatały dwie krytyczne luki w PHP, języku, na którym działa duża część stron internetowych na świecie. Błędy wykryto z pomocą zaawansowanego modelu OpenAI, co jest jednym z najgłośniejszych dotąd pokazów możliwości sztucznej inteligencji w cyberbezpieczeństwie.
Dług technologiczny przychodzi do spłaty
Michael Daniel, prezes Cyber Threat Alliance i były koordynator ds. cyberbezpieczeństwa w Białym Domu za prezydentury Baracka Obamy, uważa, że to dopiero początek. Od lat przekonuje, że skoro modele AI potrafią szukać podatności szybko i na ogromną skalę, to w końcu doprowadzi to do ich zalewu. „To początek dość chaotycznego okresu” – ocenia Daniel.
Posługuje się pojęciem długu technologicznego. Organizacje latami trzymają stare oprogramowanie, bo nie widać na nim bezpośrednich kosztów w księgach. Koszt jednak istnieje, tylko jest ukryty, i wychodzi na jaw dopiero wtedy, gdy ktoś znajdzie w takim systemie poważną dziurę. Rob Joyce, były dyrektor ds. cyberbezpieczeństwa w amerykańskiej NSA, nazwał to wielkim oczyszczającym pożarem lasu starego oprogramowania.
Atakujący działają szybciej
Nie każda luka kończy się atakiem. Historycznie wykorzystywano zaledwie 5–6 proc. podatności i nic nie wskazuje, by ten odsetek rósł. Zmieniło się natomiast tempo. Dawniej na publiczny przykład ataku (tzw. proof of concept) czekało się miesiąc lub dwa, a kolejne tygodnie mijały, zanim trafiał on do zestawów narzędzi przestępców. Dziś liczy się to w godzinach lub dniach.
Dla dużych firm oznacza to trudny wybór. Wiele z nich przyjmowało zasadę zerowej tolerancji na awarie i bardzo długo testowało każdą łatkę przed wdrożeniem. Teraz tego czasu może zabraknąć. Daniel podaje prosty rachunek: jeśli ryzyko, że łatka coś zepsuje, wynosi 1 proc., a skutki ataku mogą kosztować 50 mln dolarów, to opłacalność szybkiego wdrożenia wygląda zupełnie inaczej.
Dużo szumu, mało pewności
Ekspert zwraca uwagę, że narzędzia AI generują też mnóstwo fałszywych alarmów. Przypadek PHP jest przykładem prawdziwej, groźnej luki, ale wiele zgłoszeń dotyczy błędów, które nie istnieją albo siedzą w oprogramowaniu niedostępnym z internetu. Według Daniela trzeba poprawić system oceny i sortowania takich zgłoszeń.
Patrząc dalej, widzi też szansę. Za dwa-trzy lata te same narzędzia będą sprawdzać kod jeszcze przed wdrożeniem, więc nowe oprogramowanie może mieć mniej podatności już na starcie. Stare systemy się „wypalą”, a w ich miejsce wyrośnie coś bezpieczniejszego. To nie rozwiąże problemu cyberbezpieczeństwa, ale zmieni jego charakter.
Co to oznacza dla polskich firm i właścicieli stron
PHP jest bardzo popularny także w Polsce. Napisanych w nim jest wiele systemów do zarządzania treścią, sklepów internetowych i własnych aplikacji firmowych. Artykuł nie podaje szczegółów technicznych obu luk ani tego, których wersji dotyczą, dlatego warto sprawdzić komunikaty producenta oprogramowania i dostawcy hostingu. Problem dotyczy więc nie tylko wielkich korporacji, ale też małych firm i właścicieli blogów.
Rada Daniela dla mniejszych organizacji bez własnych specjalistów jest prosta: przestawić się na szybkie przyjmowanie aktualizacji od dostawców. W praktyce można:
- sprawdzić, jakiej wersji PHP używa Twoja strona lub sklep,
- włączyć automatyczne aktualizacje tam, gdzie to możliwe,
- usunąć wtyczki i systemy, które nie są już rozwijane,
- zapytać firmę hostingową, jak szybko wdraża poprawki bezpieczeństwa.
Źródło: Tech Xplore – „’Tech debt coming due’: AI-found flaw signals chaos ahead”
