ما نباید در مورد PHPocalypse تعجب کنیم، زیرا اینترنت بر روی چوب و چسب ساخته شده است.

ما چندین دهه گذشته را با استفاده از نوار چسب، رشته و آدامس برای به هم زنجیر کردن رایانه‌های دنیا به چیزی که اینترنت می‌نامیم، گذرانده‌ایم، بنابراین واقعا دلیل خوبی برای تعجب وجود ندارد که بیشتر آن پر از نرم‌افزارهای حاوی آسیب‌پذیری‌هایی است که عملا به همان اندازه قدیمی هستند.

می‌توانید آخرین قسمت The Kettle را همین‌جا در این صفحه و همچنین در Spotify، Apple Music یا YouTube گوش دهید. این پلتفرم‌ها همچنین به شما امکان می‌دهند در Kettle مشترک شوید، بنابراین همیشه هنگام پخش آخرین قسمت به شما اطلاع داده می‌شود.

جهان هنوز از افشاگری‌های PHP2Shell که این هفته در چرخه اخبار منتشر شد، در هیجان است، و در The Kettle هیچ موضوع بهتری برای مجری برنامه براندون ویگلیارولو، سردبیر امنیت سایبری جسیکا لیونز و گزارشگر FOSS، لیام پروون وجود ندارد.

به ما بپیوندید تا در مورد اینکه دقیقا چه اتفاقی می‌افتد، اینکه چگونه هوش مصنوعی برای یافتن مشکل دیگری کلید خورده است، و اینکه چرا افشای کدهای بد بیشتر در ستون فقرات رایانه‌های جهان ممکن است همان چیزی باشد که ما به آن نیاز داریم تا مشکل دیگری را پیدا کنیم.

رونوشت کمی ویرایش شده به شرح زیر است:

براندون (00:01)

سلام به همه، و به آخرین قسمت پادکست The Register's Kettle خوش آمدید. من میزبان شما هستم، گزارشگر Reg براندون ویگلیارولو. و هی، تنها یک چیز وجود دارد که ما می‌توانیم برای اپیزود این هفته روی آن تمرکز کنیم، با توجه به سر و صدایی که در اطراف آن وجود دارد، و آن آخرالزمان PHP است. به نظر می‌رسد که بیشتر اینترنت نرم‌افزاری را اجرا می‌کند که می‌تواند اجرای کد از راه دور را در سیستم‌های میزبان از طریق یک جفت، یا از امروز ظاهرا سه آسیب‌پذیری که مجموعا به عنوان PHP2Shell شناخته می‌شوند، اجازه دهد. پس این عالی نیست.

جسیکا لیونز، سردبیر امنیتی ما و لیام پروون، گزارشگر منبع باز، با من هستند که درباره این موضوع صحبت می‌کنند، که چند چیز در مورد خود PHP برای گفتن دارد و اینکه چرا احتمالا جای تعجب نیست که ما خود را در این آشفتگی می‌یابیم. ممنون از هر دوی شما که اومدید

لیام پروون (00:43)

لذت مطلق

جسیکا لیون (00:43)

خوشحالم که اینجا هستم

براندون (00:44)

بنابراین جس، بیایید با اصول اولیه شروع کنیم. این چیه؟ چقدر مشکل بزرگ است؟ و ما در رفع مشکل کجا ایستاده ایم؟

جسیکا لیون (00:51)

عالیه پاسخ کوتاه این است که این یک مشکل بسیار بزرگ است. بنابراین ما این دو آسیب‌پذیری ایمنی مرتبط با حافظه را داریم و آنها در هسته PHP هستند. در مجموع آنها PHP2Shell نامیده می شوند و هر نسخه ای را که در دهه گذشته منتشر شده است تحت تأثیر یکی یا هر دوی اینها قرار می دهند و به نسخه 5.4 برمی گردد. بنابراین اجماع عمومی این است که حدود 70 درصد از تمام وب سایت های موجود در اینترنت این کد را اجرا می کنند. بنابراین اساسا در این مرحله همه را تحت تأثیر قرار می دهد.

آنچه در اینجا اتفاق افتاد این است که این در واقع به ماه اوت بازمی‌گردد. یک محقق مستقل ابتدا متوجه این موضوع شد، و سپس می‌توانیم کمی بیشتر در مورد اینکه چه کسی بیشتر از این اکسپلویت‌ها را یافته و بنیاد (PHP) با آن چه کرد، صحبت کنیم. اما بنابراین او این آسیب پذیری را پیدا کرد. یک فرآیند افشای هماهنگ با بنیاد PHP وجود داشت، و سپس از آخر هفته شروع شد، و سپس در روز دوشنبه، چند نشت وجود داشت. ویدیویی منتشر شد که ادعا می‌کرد این سوءاستفاده را نشان می‌دهد.

و بنابراین ما این هشدار اضطراری را از بنیاد PHP اواخر دوشنبه دریافت می‌کنیم که می‌گوید: "هی، ما این وصله‌های اضطراری را منتشر می‌کنیم، بنابراین همه آماده شوند تا بتوانید آنها را در اسرع وقت اجرا کنید. این بسیار جدی است." بنابراین تا چهارشنبه، آنها اینها را منتشر کردند، و این تلاش انبوه برای وصله کردن قبل از اینکه هر یک از مهاجمان به آن دسترسی پیدا کنند و بتوانند با آن به وب سایت ها حمله کنند، وجود دارد. و یکی از مشکلات نیز این است که برخی از وب سایت ها نسخه های واقعا قدیمی را اجرا می کنند و بنابراین نمی توانند وصله کنند. بنابراین آنها فقط آنجا نشسته اند، این سرورهای قدیمی هنوز آسیب پذیر هستند.

براندون (02:52)

بنابراین هیچ مسیر به‌روزرسانی مستقیمی برای آن نسخه‌های قدیمی وجود ندارد، درست است؟ این اساسا این را خاموش می کند و دوباره آن را نصب می کند.

جسیکا لیون (02:59)

دقیقا. بنابراین اساسا هر دو این آسیب‌پذیری‌های تخریب حافظه هستند و با سوءاستفاده از آنها، مهاجم می‌تواند حافظه‌ای را شکل دهد که PHP به آن اعتماد دارد. و سپس آنها می توانند از آن برای ربودن اتفاقات بعدی استفاده کنند. و این می تواند به معنای اجرای کد از راه دور باشد. آنها می توانند وب سایت ها را تصاحب کنند، می توانند داده ها را سرقت کنند. و بنابراین مردم از این وب‌سایت‌هایی بازدید می‌کنند که به آن‌ها اعتماد دارند و متوجه نمی‌شوند که کد زیربنایی داده‌های آنها را می‌دزدد یا بدافزار را به رایانه‌شان تحویل می‌دهد. و دوباره، این به طور بالقوه 70 درصد اینترنت است. پس این کار بزرگی است.

براندون (03:36)

تعداد زیادی از سایت ها آفلاین بودند. من حتی برخی از خدمات بزرگ را می شناسم. من بازی را متوقف کردم زیرا بچه داشتم، اما قبلا Final Fantasy XIV را بسیار مذهبی بازی می کردم. و من می دانم که کل سرور لاگین چند روز پیش آفلاین بود

جسیکا لیون (03:50)

درسته

براندون (03:50)

آنها می گفتند، "باید این مشکل را برطرف کنید. متأسفم، هیچ کس نمی تواند بازی را انجام دهد. اگر در حال حاضر وارد سیستم نشده اید، برای آینده قابل پیش بینی وارد سیستم نخواهید شد." این دیوانه کننده است که چقدر اینترنت تحت تأثیر این موضوع قرار گرفته است. حالا تحت اکسپلویت است، درست است؟ اما شاید هنوز با موفقیت مورد سوء استفاده قرار نگرفته است؟

جسیکا لیون (04:11)

درسته بنابراین پس از انتشار وصله‌ها در روز چهارشنبه، اواخر چهارشنبه، AWS بیرون آمد و گفت: "ما حداقل چهار روز قبل از انتشار وصله‌ها شاهد تلاش‌هایی برای بهره‌برداری بوده‌ایم." بنابراین این نوع دیوانگی دیگری ایجاد کرد که "خدای من، مورد حمله قرار گرفته است، کل اینترنت در آتش است." تا به امروز هیچ حمله موفقی وجود نداشته است. تعداد زیادی تلاش شده است.

تعداد زیادی POC وجود دارد. برخی کار می کنند، برخی نه. اما از روز جمعه، به گفته بنیاد و به گفته همه کارشناسان امنیتی که من با آنها صحبت کرده ام، هیچ مدرکی دال بر بهره برداری موفقیت آمیز ندیده ایم. فکر نمی‌کنم این بدان معنا باشد که ما در وضعیت روشن هستیم. من فکر می‌کنم این فقط به این معنی است که زمان زیادی طول می‌کشد تا افراد - و صادقانه بگوییم هوش مصنوعی - حملات موفقیت‌آمیز را توسعه دهند، اما ما در حال حاضر اینجا هستیم.

براندون (05:06)

چون یک زنجیره حمله پیچیده است، درست است؟

جسیکا لیون (05:10)

درسته بله.

براندون (05:11)

بنابراین اساسا، درست است. این هنوز کار نمی کند، اما به خصوص در مورد برخی از این وب سایت های قدیمی که نسخه های قدیمی PHP را اجرا می کنند و باید رویکرد کامل تری برای رفع این مشکل و احتمالا برای مدتی از کار انداختن داشته باشند، این می تواند یکی از آن مشکلاتی باشد که برای مدتی جدی باقی می ماند. و فراموش نکنیم، 70 درصد از وب سایت های موجود در اینترنت، تقریبا سه چهارم کل اینترنت است. من نمی‌دانم چند صد هزار یا میلیون سایت وجود دارد، اما برخی از آن‌ها احتمالا هرگز وصله نمی‌شوند.

جسیکا لیون (05:41)

درسته دقیقا.

براندون (05:43)

همین طور که می رود. درسته این همان چیزهایی است که ماه ها یا سال ها بعد در مورد آن می شنویم.

جسیکا لیون (05:49)

من می گویم سال ها.

براندون (05:53)

من مطمئن هستم که در جایی بانکی وجود خواهد داشت که در نهایت به دستش می رسد - ما در مورد برخی از نامه های افشای تخلفات از ایالت مین در چهار یا پنج سال آینده خواهیم شنید.

جسیکا لیون (06:02)

و دولت‌های محلی، دولت‌های فدرال و ایالتی، فکر می‌کنم اینها همان‌هایی هستند که قرار است مدتی بعد در مورد آنها بشنویم.

براندون (06:09)

زیرا این یکی از چیزهایی بود که حتی برای خودم در شهر کوچکم در شمال میشیگان به آن فکر می کردم. من نمی دانم که آیا شهرستان من یا شهرستان من قرار است در سراسر آن برای به روز رسانی سرور PHP خود باشد. آیا کارشناس فناوری اطلاعات آنها که احتمالا یک فرد بازنشسته است که در آن منطقه زندگی می کند، می داند که این یک مشکل است؟ این واقعا یکی از آن چیزهایی است که مسئله بزرگی است، اما اگر اخبار را در این مورد دنبال نکنید، احتمالا می تواند کاملا مورد توجه قرار نگیرد. و برای بسیاری از وب سایت ها، من مطمئن هستم که این کار خواهد شد.

جسیکا لیون (06:37)

درسته دقیقا.

براندون (06:37)

بنابراین، بسیار دیوانه است. لیام، شما در حال کار بر روی یک داستان هستید، فکر می کنم، همانطور که ما در حال ضبط این مطلب هستیم، در مورد برخی از تاریخچه PHP و اینکه چگونه واقعا به خوبی طراحی نشده بود یا قرار نبود تا این حد در اینترنت فراگیر شود. آنجا چه خبر است؟

لیام پروون (06:53)

من یک زاویه را در این مورد دیده‌ام که مردم می‌گویند: "این کد دهه 1990 است و مشکلات دهه 1990 دارد" که یکی از راه‌های بررسی آن است. اما من یک پسر اینترنتی دهه 1980 هستم. این زمانی بود که شروع به کاوش در آن کردم. آدرس ایمیل اصلی من قدیمی تر از وب است و همچنان کار می کند.

خدای من، هرزنامه های زیادی دریافت می کند، اما همچنان کار می کند. من از زمان انتشار اول شاهد ظهور و افزایش PHP بودم. در حال حاضر، من علاقه شخصی به توسعه وب ندارم. من می‌توانم برنامه‌نویسی کنم، اما این کار را نمی‌کنم، زیرا واقعا در آن بد هستم و نیازی نیست که کد من بر روی آنها اعمال شود. مردی که در وهله اول پی اچ پی نوشت، راسموس لردورف، هم سن من است. من هرگز او را ندیده ام. من مطمئن هستم که او پسر خوبی است. اما او در یک مصاحبه خیلی اولیه در مورد آن گفت: "من واقعا برنامه نویسی را دوست ندارم. من این ابزار را طوری ساختم که کمتر برنامه نویسی کند تا بتوانم دوباره از کدها استفاده کنم." و این حدود سال 1993 بود.

او ابزار کوچکی ساخت که به او اجازه می‌داد ماکروها را در HTML برای وب‌سایت خود قرار دهد و تازه رشد کرده است. در مصاحبه‌ای که بعدا انجام داد، او چیزی شبیه این گفت: "من چیزی در مورد نوشتن زبان‌های برنامه‌نویسی نمی‌دانم. من فقط دارم این را بداهه می‌گویم و به نظر می‌رسد مردم آن را دوست دارند."

فکر می‌کنم در ابتدا مخفف «صفحه اصلی شخصی» بود و بعدا مخفف بازگشتی «PHP: Hypertext Preprocessor» به آن داده شد. این یک زبان برنامه نویسی است که شما آن را با HTML یک وب سایت ترکیب می کنید. این پیش از مدل مدرن ساخت وب‌سایت‌ها است که در آن پایگاه داده حاوی متن است و نوعی سیستم مدیریت محتوا صفحاتی را که هر فرد می‌بیند در پرواز جمع‌آوری می‌کند. این یک مدل قدیمی است که در آن برنامه هایی را اجرا می کنید که بخشی از زبان نشانه گذاری هستند، که ایده خوبی نبود، اما او این کار را انجام داد.

یک پست وبلاگ دوست داشتنی بود. من یک دوست قدیمی دارم که یک برنامه نویس فوق العاده ماهر و با استعداد است که روی PHP حرفه ای ایجاد کرده است، و او به من گفت: "ببین، این انتقاداتی که شما ذکر کردید مربوط به نسخه های اولیه است و اکنون تغییر کرده است." و اگر او این را بشنود، با من همراه خواهد شد. اما خلاصه مورد علاقه من از وبلاگی به نام Eev.ee بود که PHP را "فرکتال بد طراحی" نامید.

به هر سطحی که نگاه کنید، بد انجام شد. اگر به کل طرح "بیایید فقط کد برنامه را با زبان نشانه گذاری مخلوط کنیم" نگاه کنید، ایده خوبی نیست. اگر به جزئیات نحوه اجرای آن نگاه کنید، ایده خوبی نیست. اگر به جزئیات سطح پایین نحوه بازگرداندن مقادیر توابع نگاه کنید، ایده خوبی نیست: نحو ناسازگار، توابع ناسازگار، توابعی که کارهای واقعا عجیب و غریب انجام می‌دهند، به طور پیش‌فرض بدون ردپای پشته، نه گزارش خطای بزرگ.

اکنون، من مطمئن هستم که بسیاری از این موارد در حال حاضر توضیح داده شده است، اما واقعا یک دلیل وجود دارد که PHP هنوز هم وجود دارد و هنوز آنقدر بزرگ است: Zuck. فیس بوک با PHP ساخته شده است. و فیس‌بوک پول زیادی به دست می‌آورد و چندین دهه است که برای سریع‌تر و قابل اطمینان‌تر کردن PHP و مقیاس‌پذیرتر پول می‌ریزد.

براندون (11:03) آیا آنها سهم بزرگی در آن داشته اند؟

لیام (11:06) آره آنها حتی یک کامپایلر برای آن ساختند که من گمان می کنم هنوز در حال استفاده است. حال، چه مقدار از فیس بوک امروز در PHP است؟ نمی‌دانم، احتمالا هیچ‌کدام، اما برای مدت طولانی اساسا بزرگترین و شلوغ‌ترین وب‌سایت عمومی جهان که متعلق به Google نبود - فقط به این دلیل که Google هرگز نتوانسته یک شبکه اجتماعی موفق ایجاد کند - بر اساس PHP ساخته شده بود. و بزرگ است، پیچیده است. مانند خود لینوکس، هیچ کس دیگر به طور کامل نمی‌داند که چگونه کل کار می‌کند و احتمالا برای چندین دهه نیست.

و اکنون مردم ربات هایی دارند که می توانند در برابر آن پرتاب کنند و از آنها بخواهند آن را تجزیه و تحلیل کنند. فکر می‌کنم این احتمالا اولین مورد است، و من فکر می‌کنم که موارد بیشتری نیز وجود خواهد داشت. یکی از دوستان من که یک توسعه دهنده ارشد است نگاهی به این پچ انداخت، و او یک پسر C نیست، اما گفت - من از نظرات Mastodon نقل قول می کنم - که پچ نسخه فعلی 13000 خط C است. این یک پچ است.

براندون (12:17)

این بزرگ است.

لیام پروون (12:20)

یک سری از مردم مدت زیادی است که دیوانه وار کار می کنند. برخی از افرادی که به این موضوع نگاه کرده اند می گویند که برای من دست نوشته است. دیگران گفته اند، "نه، من فکر می کنم این ربات تولید شده است." من فکر می کنم حقیقت احتمالا کمی از هر دو است: برخی از یکی، برخی از دیگری.

براندون (12:32)

کمی از هر دو. منظورم این است که شما نمی توانید سیزده هزار خط را به این سرعت پمپ کنید و آن را آزمایش کنید. خدایا امیدوارم امتحان کرده باشند.

لیام پروون (12:41)

درسته اما این فقط برای نسخه فعلی است و این حفره روی هر نسخه منتشر شده تأثیر می گذارد. بنابراین، اگر آنها موفق به رفع این مشکل شوند، تا چه زمانی مورد بعدی می آید؟ زیرا من فکر می کنم وجود خواهد داشت -

براندون (12:56)

به خصوص با سرعتی که در حال حاضر آسیب پذیری ها کشف می شوند. احساس می‌کنم هر بار که برمی‌گردم، یک مقاله Patch Tuesday در چند ماه گذشته نوشته‌ام و آن یکی دو رکورد قبلی را شکست. و من فکر می‌کنم از آن زمان به بعد، هر ماه پچ‌های بیشتری را شامل می‌شود، و بسیاری از آنها احتمالا -

جسیکا لیون (13:14)

اکتبر در این مرحله رکورد است: بیش از هزار مورد تنها برای مایکروسافت. بنابراین، بله.

براندون (13:21)

این دیوانه کننده است. همانطور که گفتید، این یک فرکتال از طراحی بد است و احتمالا آسیب‌پذیری‌های بیشتری کشف خواهد شد.

جسیکا لیون (13:32)

درسته

براندون (13:32)

هفتاد درصد از تمام وب سایت های موجود در اینترنت از این استفاده می کنند. چه کار کنیم؟ آیا ما گیر کرده ایم؟

لیام پروون (13:35)

خوب، دلیلی برای آن وجود دارد، و این دلیلی است که زیاد در مورد آن صحبت نمی شود: فیس بوک تنها افرادی نیستند که به طور گسترده از آن استفاده می کنند، زیرا وردپرس نیز بر پایه PHP ساخته شده است، و تنها نیست. یکی دیگر از دوستان ارشد لینوکس من یک اکانت پوسته رایگان در دستگاهی که چند سال پیش برایش اجرا می‌کرد به من داد و من به این فکر افتادم که صفحه وب قدیمی HTML با کدگذاری دستی دهه 1990 خود را برای سرگرمی احیا کنم. بنابراین من آن را در آرشیو اینترنت پیدا کردم و ابزاری برای خراشیدن آن و تبدیل آن به HTML دوباره پیدا کردم. من به چند CMS نگاه کردم و از او پرسیدم که آیا CMS روی دستگاه وجود دارد یا خیر.

گفت: نه.

و من گفتم، "خب، آیا شما یکی را نصب می کنید؟"

گفت: نه.

"خب، چرا که نه؟"

او گفت، "خب، همه بزرگ‌ها در PHP پیاده‌سازی می‌شوند و من اجازه نمی‌دهم که به سروری که اجرا می‌کنم نزدیک شود."

"خب، این کمی دراماتیک است، اینطور نیست؟"

و او می‌گوید: "نه، این عمل‌گرایانه است. من یکسری سرورهای عمومی را به تنهایی اجرا می‌کنم، و به این ترتیب آنها را ایمن نگه می‌دارم. بدون کانتینر، بدون Docker، بدون PHP، هیچ چیزی در هیچ یک از این فناوری‌ها ساخته نشده است."

و من گفتم: وای، چه خبر...

بنابراین من به دنبال CMS های غیر PHP رفتم. CMS های زیادی وجود دارد. من حدود یک دهه پیش کمیسیونی گرفتم تا یک ارزیابی مقایسه ای از بازار CMS در مقابل محصول اختصاصی ویندوز یک شرکت بنویسم. رفتم نظرسنجی کردم و برگشتم و گفتم 1300 تا الان پیدا کردم.

و آنها گفتند: "باشه، ما می توانیم به جای هزار کلمه، پنج هزار کلمه به شما بدهیم."

و من گفتم، "تو متوجه می شوی که من باید بروم و 1300 قطعه نرم افزار را اینجا ببینم. حتی اگر فقط سه یا چهار کلمه در مورد هر کدام بنویسم، "بیشتر بی ضرر"، باز هم باید به بیش از هزار بیت نرم افزار نگاه کنم. یک سال طول می کشد."

و آنها گفتند، "خب، چگونه می توانیم این کار را سریعتر انجام دهیم؟"

و من گفتم: "نمی‌توانی. من نمی‌توانم این نظرسنجی را که می‌خواهی انجام دهم. یک کار تمام وقت به من بده تا چند سال دیگر آن را به تو برگردانم."

من چند CMS پیدا کردم که با PHP ساخته نشده بودند. بیشتر آن‌ها در روبی ساخته شدند. و او گفت: "آره، من هم علاقه ای به داشتن آن روی سرورم ندارم."

بنابراین حتی در مورد افرادی که استقرار PHP دارند نیاز به به روز رسانی وجود ندارد. آنها نمی دانند. آنها آن را بر روی چیز دیگری ساختند که بر روی چیزی ساخته شده بود که در PHP ساخته شده بود.

جسیکا لیون (16:15)

من فقط میخواستم بگم لیام تو گفتی "تا کی میشه بعدی؟" و امروز از بنیاد PHP متوجه شدیم که مورد سومی نیز وجود دارد. آنها برای این کار به انتشار اضطراری اقدام نخواهند کرد. آنها گفتند که با چرخه انتشار عادی بعدی منتشر خواهد شد. بنیاد به من گفت که این یکی، نقل قول، "به ترکیبی بسیار بعید از پیکربندی و کد برنامه کاربردی PHP خاص نیاز دارد، که ما انتظار نداریم در استفاده عملی رخ دهد." بنابراین، در حال حاضر یکی دیگر وجود دارد.

لیام پروون (16:45)

بنابراین هفته ها پس از آن.

براندون (16:47)

آره

جسیکا لیون (16:48)

منظورم این است، و حتی با این، بهره برداری از آن سخت است. می توانید با تنظیمات پیکربندی آن را کاهش دهید. اما این بخشی از چیزی بود که ما با این دو نفر دیگر شنیدیم. و سپس ما دیروز محققینی داشتیم که این اکسپلویت جدید را توسعه دادند. این Vulncheck بود. و این نشان می دهد که چگونه می توان حتی ASLR را برای حمله به این آسیب پذیری ها در دستگاه های x86 دور زد. بنابراین گفتن اینکه با تنظیمات پیکربندی قابل رفع است، همیشه تضمینی نیست.

براندون (17:25)

این مرا به نوعی به فیل در اتاق کل این داستان می رساند: هوش مصنوعی. زیرا مطمئنا همه چیز امروزه به هوش مصنوعی برمی گردد. OpenAI و دو شرکت امنیتی دیگر این را گزارش کردند. فکر می‌کنم جس، یکی از داستان‌های شما یا یکی از داستان‌هایی که لیندسی نوشته، گفته است که همه آنها از هوش مصنوعی برای یافتن این موضوع استفاده کرده‌اند، درست است؟

جسیکا لیون (17:49)

درسته بنابراین شرکت‌ها: کالیفرنیا، آنها یک استارت‌آپ جدید هستند که تست قلم هوش مصنوعی را انجام می‌دهند و بخشی از برنامه شریک OpenAI هستند، بنابراین از مدل‌های OpenAI که با OpenAI کار می‌کنند برای یافتن این موضوع استفاده کردند. و سپس به طور مستقل، Wiz که متعلق به گوگل است نیز این کار را انجام داد. بنابراین این اتفاق در ماه آگوست رخ داد و از آن زمان همه آنها با بنیاد PHP روی پچ کار می‌کنند.

همه آنها گفته‌اند که اینها آسیب‌پذیری‌هایی هستند که احتمالا توسط انسان‌ها به تنهایی پیدا نمی‌شدند. با تمام حساب ها، آنها برای دهه ها وجود داشته اند و فقط توسط محققان انسانی پیدا نمی شوند.

براندون (18:34)

درسته بنابراین یا اینها چیزهایی هستند که هرگز کشف نشده اند و هرگز از نظر تئوری مورد بهره برداری قرار نخواهند گرفت - مسیر بهره برداری پیچیده است، آسیب پذیری های آشکاری نیستند، بنابراین برای یافتن آنها به یک هوش مصنوعی نیاز داشتند - یا شاید این همان چیزی است که در مورد آن شناخته شده بود اما به طور خصوصی در دست برخی از شرکت های شکار حشرات است که اکسپلویت ها را به دولت ها می فروشد. چه کسی می داند؟ شاید اینطور باشد. یادم می آید که یک بار در بلک هت با مردی صحبت کردم که اساسا گفت که شرکتش در کار یافتن آسیب پذیری های حساس است و سپس آنها را به بالاترین قیمت پیشنهادی می فروشد.

بنابراین شرکت هایی مانند آن وجود دارند که وجود دارند. بنابراین احتمالا آسیب‌پذیری‌های زیادی در نرم‌افزار وجود دارد که به‌خوبی شناخته شده نیست و دولت‌ها و عملکردهای سطح بالا از آن‌ها آگاه نیستند. اما در این مورد، احتمالا اینطور نبود. این یک آسیب‌پذیری فوق‌العاده دشوار است.

من در چند روز گذشته گپ های آنلاین زیادی در مورد چگونگی آتش گرفتن اینترنت و ورود خطاهای هوش مصنوعی دیده ام. به نظر می رسد که ما شاهد یک مورد دیگر از مردم هستیم که همه ما را به وحشت انداخته است زیرا این پایان زمان است، تاریخ به پایان رسیده است و هوش مصنوعی همه ما را خواهد کشت. فقط به نظر من این مثال دیگری است از: خوب، شاید نه. این مورد توسط بازیگران بالقوه بد یا آزمایش‌کنندگان قلم مورد بررسی قرار گرفته است، و تا آنجا که ما می‌دانیم هیچ‌کس نتوانسته است با موفقیت از آن استفاده کند.

آیا این به همان اندازه که به نظر می رسد جدی است، یا این یک مورد دیگر از یک آسیب پذیری جدی است که آنقدر پیچیده و پیچیده است که واقعا کار بزرگی نخواهد بود؟

لیام پروون (20:25)

می‌خواهم به طور پرانتزی اشاره کنم که شما OpenAI را یک شرکت امنیتی توصیف کردید، و اگر قهوه می‌نوشیدم، برای صفحه‌کلید من بسیار بد بود.

براندون (20:32)

باشه، اوه بگذار آن را پس بگیرم.

جسیکا لیون (20:31)

ها ها ها ها

لیام پروون (20:36)

کالیف جالب است زیرا من فقط در مورد آنها نوشتم. آنها حفره‌ای در OpenBSD پیدا کردند و تعداد زیادی از آن‌ها وجود ندارد. و تنها حدود یک هفته پیش، آنها سوراخی را پیدا کردند که آن را "ماهی بزرگ" در OpenBSD نامیدند، و تنها چند روز قبل از ارسال OpenBSD 8 بود. به نظر می رسد که 37 سال است که وجود داشته است، که یک ترفند خوب است زیرا OpenBSD 30 سال پیش تاسیس شد. بنابراین این در - با دقت تلفظ می شود - Unix توزیع نرم افزار برکلی در دهه هشتاد. اما بدون شک موارد بیشتری وجود دارد، و من یک بدبین هستم.