اشکال PHP نشانگر یک دوره خطرناک جدید برای اینترنت است. OpenAI آماده پول نقد است
OpenAI به افشای یک موضوع مهم کمک کرد که می‌توانست 70 درصد وب را از بین ببرد. همچنین به فروش ابزارهایی می‌پردازد که می‌گوید به جلوگیری از این و مسائل مشابه کمک می‌کند.
به Eye on AI خوش آمدید. امیلی فورلینی اینجاست و جای بئاتریس نولان را پر می کند. در شماره امروز:
محققان یک نقص امنیتی را کشف کردند که 70 درصد از وب را تحت تأثیر قرار می دهد
آنتروپیک می‌تواند به زودی فردا برای IPO ثبت نام کند
Anthropic از Duet، رقیب OpenAI's Dots و Meta's Muse رونمایی کرد
اخراج های مبتنی بر هوش مصنوعی در بارکلی
ماه‌هاست که تعداد فزاینده هک‌های مبتنی بر هوش مصنوعی را پوشش می‌دهم، به زمانی که مدل‌های OpenAI به طور مستقل به Hugging Face در ماه جولای حمله کردند. از آن زمان تا کنون ضرب و شتم مداوم حوادث وجود داشته است، و در این ماه سرعت اخبار هشدار دهنده سایبری به طور قابل توجهی افزایش یافت.
بیش از 20 حادثه امنیت سایبری در ماه اکتبر رخ داده است که بسیاری از آنها فقط همین هفته است. اینترنت ممکن است رسما وارد عصر جدیدی شود، دوره ای که در آن سایت ها ذاتا کمتر از گذشته ایمن هستند. پارانویای امنیت سایبری برای هرکسی که قصد انجام تجارت آنلاین را دارد، تبدیل به یک میز می شود. برخی می گویند که «خندق» جدید برای کسب و کارها در حال تبدیل شدن به این است که آنها می توانند از مشتریان و IP خود در برابر حملات سایبری مبتنی بر هوش مصنوعی محافظت کنند - نه لزوما آن IP یا پایگاه مشتری در واقع.
متخصصان امنیتی مدت‌هاست که هشدار می‌دهند که ابزارهای هوش مصنوعی قوی‌تر، بازیگران بد را قادر می‌سازد تا از اشکالات در کد سوء استفاده کنند. این هفته، کارشناسان به من گفتند، این هشدارها اکنون به حقیقت می پیوندند. مدل‌های هوش مصنوعی در ماه‌های اخیر به طرز محسوسی در وظایف سایبری قدرتمندتر شده‌اند. به طور خاص، آنها در پردازش مقادیر زیادی کد بهتر هستند و به طور مستقل عمل می کنند. هکرها در راه انداختن عوامل هوش مصنوعی در ماموریت های شیطانی موفقیت بیشتری کسب می کنند. گاهی اوقات، بسیاری از هوش مصنوعی ها در گروه هایی به نام گروه های عامل با هم کار می کنند. این دسته‌ها سریع‌تر از یک انسان حرکت می‌کنند.
بنابراین یک سازمان در مواجهه با این تهدیدها چه کاری باید انجام دهد؟ تنها پاسخ این است که با هوش مصنوعی مقابله کنید، به این معنی که به طور فعال کد خود را «هک کنید»، قبل از اینکه بازیگران بد انجام دهند، باگ‌ها را پیدا کنید و قبل از اینکه هکرهای مجهز به هوش مصنوعی بتوانند حمله کنند، آنها را اصلاح کنید. این دقیقا همان چیزی است که این هفته در حادثه‌ای رخ داد که قبلا به پوستر موج آتی حملات مبتنی بر هوش مصنوعی تبدیل شده است. این حادثه شامل یک زبان برنامه نویسی قدیمی به نام PHP بود.
نقص PHP در سراسر جهان شنیده شد
در ماه آگوست، تیم‌های تحقیقاتی متعدد در سازمان‌های مختلف، که همگی از مدل‌های هوش مصنوعی برای یافتن نقص‌های امنیتی استفاده می‌کردند، دو آسیب‌پذیری را در PHP پیدا کردند که تخمین زده می‌شود ۷۰ درصد وب روی آن اجرا می‌شود. این دو باگ، و همچنین روش بهره برداری از آنها، اکنون مجموعا "php2shell" نامیده می شوند. به نظر می‌رسد مدل GPT-5.6 Sol OpenAI نقشی کلیدی در این کشف داشته است، اگرچه به نظر می‌رسد مدل‌های دیگر از جمله Gemini 4 Argon گوگل نیز در این کشف نقش داشته‌اند.
محققان این کشف را به عنوان یک اورژانس تلقی کردند، اما مردم تا این هفته از آن مطلع نشدند، زمانی که در 20 اکتبر، بنیاد PHP اعلام کرد که طی 24 ساعت آینده یک پچ بحرانی را منتشر خواهد کرد. روز بعد، ائتلافی از شرکت‌ها - از جمله OpenAI، Wiz، Calif، و غیره - که به طور خصوصی روی یک تعمیر کار می‌کردند، آن را به طور رسمی فاش کردند. برای اطلاعات کامل در مورد اینکه چه کسی برای اولین بار این اشکال را کشف کرد و چگونه شرکت ها در دو ماه گذشته با هم کار کردند، مقاله ای را که در اوایل این هفته در این مورد نوشتم را بررسی کنید.
این یک خبر کاملا خوب در مورد یک بحران بالقوه است که به جز چند واقعیت ناخوشایند با موفقیت از آن جلوگیری کرد. یکی این که به نظر می رسد اخبار مربوط به آسیب پذیری ها و نحوه بهره برداری از آنها در روزهای منتهی به اعلام PHP به بیرون درز کرده است. با توجه به خدمات وب آمازون، هکرها سوء استفاده از php2shell را در 17 اکتبر، قبل از افشای عمومی، آغاز کردند. این احتمال وجود دارد که آنها از این اشکال اطلاع داشته باشند که چندین سازمان از جمله آمازون از قبل در مورد آن مطلع شده بودند. همه آنها بر سر زمان مشخصی توافق کرده بودند—14:00 UTC در اکتبر.
21- زمانی که آنها می توانند در مورد آن پست بگذارند تا زودتر به هکرها اطلاع ندهند.
مشکل دیگر پنجره یک روزه بین PHP بود که اعلام می کرد در شرف انتشار یک پچ است و زمانی که واقعا پچ را صادر کرد، همراه با تأخیر زمانی که طبیعتا بسیاری از شرکت ها برای به روز رسانی سیستم های خود پس از انتشار وصله نیاز دارند. پس از افشای عمومی این اکسپلویت، دروازه‌ها باز شد و از زمان نگارش این مقاله، «میلیون‌ها» تلاش برای سوءاستفاده از باگ‌ها صورت گرفته است، در حالی که وب‌سایت‌های سراسر جهان که بر اساس کدهای PHP معیوب ساخته شده‌اند، برای پیاده‌سازی وصله به تقلا می‌افتند. آن کار هنوز ادامه دارد.
خوشبختانه، سرویسی که بیش از همه تحت تأثیر این باگ قرار گرفته است، وردپرس، هیچ مشکلی را گزارش نمی‌کند. (به طور جداگانه، فورچون این هفته یک داستان عالی در مورد کودتای نافرجام بنیانگذار وردپرس منتشر کرد که ارزش خواندن را دارد.) با این حال، بسیاری از دولت ها و برخی از نهادهای خصوصی تصمیم گرفتند برخی از خدمات وب را برای محافظت از آنها در برابر حملات احتمالی در حالی که منتظر اجرای پچ هستند، آفلاین کنند. این امر آن سایت‌ها را از آسیب نجات داد، اما از مردم نیز امکان استفاده از آن خدمات را سلب کرد.
تبدیل هک به پول نقد
برای سازمان هایی که ابزارهای دفاعی امنیت سایبری هوش مصنوعی را می فروشند، همه این خبر بسیار خوبی است. که شامل OpenAI می شود. این شرکت در حال ساخت برنامه Daybreak خود است، که یک ابتکار فقط کاربردی است که به سازمان‌ها امکان دسترسی به پیچیده‌ترین ابزارهای خود را برای کمک به دفاع در برابر حملات پیچیده و مبتنی بر هوش مصنوعی می‌دهد.
این برنامه به سرعت در حال رشد است. دو هفته پیش، OpenAI وب سایت Daybreak را با شماره های جدید به روز کرد. تعداد نقص های نرم افزاری که شرکت کنندگان آن یافته اند از 858 به 1885 افزایش یافته است. تعداد وصله‌های تولید شده از 263 به 661 رسید. هر چه تعداد شرکت‌ها و متخصصان امنیت سایبری بیشتر ثبت‌نام کنند، افراد بیشتری از ابزار OpenAI برای یافتن و اصلاح اشکال‌های کد خود استفاده می‌کنند.
مسئله PHP باعث افزایش آگاهی بیشتر از این برنامه شده است. گرگ براکمن، یکی از بنیانگذاران و رئیس OpenAI، با یک پست X در مورد سوء استفاده از PHP و نقش OpenAI در کشف آن، آن را تقویت کرد - یک پست طولانی و نادر که او اکنون در بالای نمایه خود قرار داده است. براکمن همچنین در تابستان یک مدیر ارشد درآمد جدید با سابقه امنیت سایبری استخدام کرد و به او وظیفه داد تا تیم فروش ایجاد کند که بتواند نرم افزار دفاعی خود را در اختیار شرکت ها قرار دهد.
OpenAI همچنین قصد دارد در پاییز امسال یک مدل جدید متمرکز بر امنیت سایبری و همچنین اولین ابزار در نوع خود را برای کمک به کسب‌وکارها برای استقرار آسان‌تر آن در زیرساخت‌های خود معرفی کند. به نظر می رسد این شرکت یک شرط بندی فعالانه روی ابزارهای امنیت سایبری مبتنی بر هوش مصنوعی انجام داده است که منبع درآمدی در حال رشد هستند و این پیش بینی در حال تحقق است. و آنها از تنها افراد در این تجارت دور هستند. Anthropic برنامه مشابهی برای متخصصان امنیت سایبری در سازمان‌های بررسی‌شده به نام Project Glasswing دارد و چندین ارائه‌دهنده SaaS ابزارهای دفاع سایبری مبتنی بر هوش مصنوعی را ارائه می‌دهند.
اگر این روند ادامه پیدا کند، آنها می‌توانند به دنبال مقداری پول نقد جدی باشند - و تا زمانی که هکرها ابتدا به آنها نرسند.
با آن، در اینجا اخبار بیشتری در زمینه هوش مصنوعی وجود دارد.
امیلی فورلینی emily.forlini@fortune.com @emilyforlini
این داستان در ابتدا در سایت Fortune.com منتشر شد
متن اصلی (انگلیسی)
The PHP bug marks a dangerous new era for the internet. OpenAI’s poised to cash in
OpenAI helped lead the disclosure of a critical issue that could take down 70% of the web. It's also selling tools it says will help prevent this—and similar issues—from happening.