Dobrá správa pre kybernetickú bezpečnosť: v ére umelej inteligencie zvíťazili tí dobrí
Výskumníci objavili spôsob, ako zneužiť dve bezpečnostné zraniteľnosti v PHP, programovacom jazyku používanom pri tvorbe webových stránok a aplikácií. Firmy v stredu vyzvali, aby si nainštalovali bezpečnostnú záplatu. Niekoľko webových stránok a služieb bolo počas jej inštalácie dočasne nedostupných.
Odvrátili katastrofu
Za všeobecným dojmom, že sa vlastne nič nestalo, sa môže skrývať mimoriadne úsilie ľudí, ktorí zatiaľ dokázali odvrátiť katastrofu. Túto udalosť možno považovať za doteraz najvýznamnejšie víťazstvo obrancov v novej ére kybernetickej bezpečnosti a umelej inteligencie. Je to zároveň povzbudenie pre odvetvie kybernetickej bezpečnosti.
Zraniteľnosti s názvom PHP2Shell mohli podľa spoločnosti Wiz zasiahnuť približne 70 percent všetkých webových stránok na svete. Tieto chyby existovali viac ako desať rokov a umožňovali útočníkom spúšťať programový kód na diaľku. Podľa spoločnosti Wiz patria medzi najzávažnejšie bezpečnostné zraniteľnosti, aké boli kedy objavené v PHP.
Preventívne opatrenia po celom svete
Webové stránky viacerých európskych vlád a miestnych samospráv boli dočasne nedostupné. V Spojenom kráľovstve BBC odstavila časť svojho webu pre údržbu. Jedna americká spoločnosť poskytujúca služby v oblasti ľudských zdrojov nakrátko prerušila prevádzku. Japonská premiérka Sanae Takaičiová vyzvala firmy, aby bezpečnostnú záplatu nainštalovali čo najskôr.
Objavili ich modely umelej inteligencie
Zraniteľnosti PHP2Shell boli objavené v auguste s pomocou najpokročilejších modelov umelej inteligencie. Spoločnosť Wiz ich odhalila v auguste, nezávisle od nej aj ďalšia kyberbezpečnostná spoločnosť Calif, ktorá spolupracovala s OpenAI v iniciatíve Patch the Planet. Tá vznikla v reakcii na obavy, že umelá inteligencia môže posilniť schopnosti kybernetických zločincov a nepriateľských štátov.
Išlo o oveľa zložitejšiu úlohu než len požiadať model umelej inteligencie, aby našiel chybu. Bola to súhra modelov a ľudských odborníkov. Jediný člen výskumného tímu podľa spoločnosti Wiz zvládol za týždeň prácu, ktorá by špičkovému svetovému tímu zabrala celé mesiace.
Bezpečnostná záplata
Po odhalení chýb sa rozbehli práce na ich odstránení. Tím, ktorý spravuje PHP, začal pripravovať opravu. Informované boli aj spoločnosti prevádzkujúce internetovú infraštruktúru, napríklad Amazon Web Services a Cloudflare. Bezpečnostná záplata vyšla o deň skôr, než sa plánovalo, pretože niektoré podrobnosti medzičasom unikli na verejnosť. OpenAI zároveň sprístupnila pre svoju platformu Codex nástroj, ktorý firmám pomáha rýchlo zistiť, aké aktualizácie potrebujú.
Ozvali sa aj hackeri
Keďže informácie o zraniteľnostiach sú už verejné, slabé miesta vyhľadávajú aj hackeri. Technologický riaditeľ Cloudflare Dane Knecht uviedol, že spoločnosť ešte pred vydaním záplaty zaznamenala prvé objavujúce sa útoky na svojich zákazníkov. Preto im do odstránenia zraniteľností poskytovala dočasné ochranné opatrenia.
Rastúci význam bezpečnostných firiem
Prípad zdôrazňuje rastúci význam špecializovaných kyberbezpečnostných spoločností v ére umelej inteligencie. Vo februári sa akcie firiem, ako sú Cloudflare a CrowdStrike, prudko prepadli pre obavy, že laboratórium Anthropic ich pripraví o zákazníkov. Dnes sa tieto obavy zdajú absurdné. Akcie Cloudflare po zverejnení správy vzrástli približne o sedem percent a od februárového otrasu si pripísali 76 percent. Akcie CrowdStrike sa za rovnaké obdobie posilnili o 146 percent.
Hlavné ponaučenie spočíva v tom, že spolupráca bezpečnostných výskumníkov s laboratóriami vyvíjajúcimi najpokročilejšie modely umelej inteligencie poskytla svetu časový náskok pred vážnou hrozbou. Takáto spolupráca musí pokračovať a ďalej sa rozširovať. Zodpovednosť za prijatie opatrení zostáva na bezpečnostných tímoch.
