Аннотация:
21 октября 2026 года OpenAI опубликовала объявление, в котором сообщила о своем участии в обнаружении и координации устранения двух серьезных уязвимостей безопасности в языке программирования PHP. Этой акции способствует программа «Patch the Planet» (обновите весь Интернет), запущенная OpenAI, которая объединяет специалистов по сопровождению программного обеспечения, исследователей безопасности, поставщиков облачных услуг и агентства по обеспечению безопасности государственных сетей для совместного снижения рисков, вызванных уязвимостями глобальной интернет-инфраструктуры.
OpenAI заявила, что передовые модели искусственного интеллекта способны обнаруживать недостатки безопасности программного обеспечения с широким спектром последствий, и то, как быстро преобразовать эти результаты в реальные меры защиты, становится все более важной темой в области сетевой безопасности.
В этом инциденте охранная компания Calif обнаружила серьезную брешь в системе безопасности с использованием GPT-5.6 Sol, а охранная компания Wiz независимо обнаружила и сообщила о двух связанных уязвимостях. Команда поддержки PHP отвечает за исправление уязвимостей и выпуск версий безопасности, а OpenAI, Wiz, Cloudflare и другие партнеры обеспечивают технические исследования, инженерную поддержку и координацию, чтобы помочь соответствующим организациям подготовиться к защите до того, как уязвимости будут обнародованы.
PHP — это язык программирования с открытым исходным кодом, широко используемый на веб-сайтах и в сетевых приложениях. Большое количество интернет-сервисов используют его для обработки запросов веб-страниц, операций с базами данных и фоновой бизнес-логики. Таким образом, на нижнем уровне PHP существует серьезная уязвимость, и ее воздействие может быстро распространиться на многие веб-сайты, облачные сервисы и корпоративные системы. Обе обнаруженные на этот раз уязвимости оцениваются как критические и могут позволить злоумышленнику удаленно выполнить код без аутентификации. Команда разработчиков PHP выпустила исправленную версию 21 октября и призывает пользователей немедленно выполнить обновление.
В OpenAI заявили, что этот инцидент подчеркивает двойную роль искусственного интеллекта в сфере сетевой безопасности. С одной стороны, продвинутые модели могут помочь исследователям обнаружить недостатки, которые долгое время были скрыты в зрелом программном обеспечении; с другой стороны, те же возможности могут быть использованы злоумышленниками для быстрой разработки инструментов эксплойтов и программ атак. Таким образом, группа безопасности не может только сосредоточиться на том, может ли уязвимость быть обнаружена, но также должна создать эффективный механизм, обеспечивающий своевременное устранение уязвимости и максимально снижающий риск атаки до того, как будут развернуты соответствующие исправления.
В OpenAI заявили, что, согласно имеющейся у нее информации, уязвимость была обнаружена с помощью передового искусственного интеллекта до того, как злоумышленник обнаружил и воспользовался ею. Это дает разработчикам программного обеспечения ценное время на подготовку к защите. Компания называет этот этап «Окном защитника» — это период времени, в течение которого защитники могут выявлять проблемы, разрабатывать планы устранения и применять защитные меры до того, как это сделают злоумышленники.
Однако это окно будет существовать не всегда. Поскольку возможности моделей искусственного интеллекта продолжают улучшаться, временной разрыв между обнаружением уязвимостей и разработкой методов атаки может постепенно сокращаться. OpenAI считает, что индустрии кибербезопасности необходимо перейти от относительно децентрализованного подхода к обработке уязвимостей, применявшегося в прошлом, к механизму систематического реагирования, который может быстро координировать действия разработчиков программного обеспечения, поставщиков услуг, операторов предприятий и государственных учреждений.
С этой целью OpenAI предложила систему скоординированного реагирования на серьезные уязвимости, которая в основном включает пять этапов.
Во-первых, специалисты по сопровождению программного обеспечения, исследователи и ключевые технологические партнеры должны работать вместе, чтобы выявлять уязвимости, оценивать их масштабы, а также разрабатывать и тестировать исправления. На этом этапе команде также следует использовать расширенные модели для проведения состязательного тестирования, чтобы проверить, действительно ли патч может предотвратить атаку, и искать возможные соответствующие варианты уязвимостей, чтобы не устранять только поверхностные проблемы, но не упускать другие пути использования.
Во-вторых, пострадавшим организациям необходимо предоставить достаточно времени на подготовку. У разных организаций разные задачи по защите: издателям программного обеспечения может потребоваться перенести исправления на более старые версии, поставщикам услуг облачного хостинга необходимо проверить временные меры по смягчению последствий, а компаниям, занимающимся сетевой безопасностью, может потребоваться заранее подготовить правила обнаружения или стратегии защиты брандмауэра веб-приложений (WAF). OpenAI предложила, чтобы необходимая техническая информация предоставлялась поэтапно, исходя из фактических обязанностей по защите каждого участника, а риск утечки должен быть снижен за счет соглашений об обмене информацией и специализированных механизмов координации.
В-третьих, необходимо сотрудничество с государственными органами кибербезопасности, чтобы операторы критически важной инфраструктуры получали своевременные оповещения и рекомендации по защите. В случае инцидента с уязвимостью PHP OpenAI и ее партнеры связались с несколькими правительственными ведомствами и агентствами по кибербезопасности США, включая Специальную группу суперразведки Белого дома, Управление национального кибер-директора и Агентство кибербезопасности и безопасности инфраструктуры (CISA), и координировали свои действия с международными партнерами.
В-четвертых, после стабилизации плана исправлений и плана публичного раскрытия масштабы участия должны быть расширены, чтобы позволить большему числу издателей программного обеспечения, поставщиков облачных услуг, поставщиков услуг хостинга и групп корпоративной безопасности заранее готовить обновления. Организациям, которые все еще используют старые версии программного обеспечения и не могут напрямую установить последние исправления, также необходимо оценить возможность отката исправлений или других временных защитных мер.
В-пятых, после официального выпуска исправления необходимо предоставить общественности четкие инструкции по ремонту, которые помогут пользователям подтвердить, затронуты ли их системы, какую версию следует установить и как проверить эффективность исправления. Весь процесс ответа не заканчивается сразу после выпуска патча. Группе безопасности также необходимо продолжать отслеживать развертывание и помогать организациям, которые еще не завершили обновление, решать актуальные проблемы.
OpenAI особо отметила, что существуют очевидные дилеммы с заблаговременным обменом информацией об уязвимостях. С одной стороны, поставщикам облачных услуг, поставщикам сетевой безопасности и операторам критической инфраструктуры необходимы достаточные технические подробности для эффективной подготовки защитных мер; с другой стороны, даже ограниченная информация об уязвимости может помочь злоумышленникам определить конкретное местонахождение уязвимости. Таким образом, соответствующая информация должна предоставляться поэтапно с учетом обязанностей участников по защите, необходимости времени на подготовку и способности обращаться с конфиденциальной информацией.
Первоначальный график раскрытия информации также следует пересмотреть, если начинается фактическая эксплуатация уязвимости, случайно происходит утечка технических подробностей или само общедоступное исправление раскрывает местоположение уязвимости. OpenAI считает, что механизмы координации должны иметь возможность быстро адаптироваться к изменению угроз, а не механически следовать установленным срокам.
Чтобы помочь большему количеству организаций принять меры, OpenAI заявила, что предоставит инструменты проверки версий PHP и планирует запустить вспомогательные навыки Кодекса, чтобы помочь системным операторам выявлять потенциально опасные версии PHP и определять применимые планы обновления на основе официальных рекомендаций PHP и поставщиков услуг. OpenAI также объединяет информацию о раскрытии уязвимостей и руководства по защите в рамках проекта «Patch the Planet», чтобы помочь администраторам находить авторитетные исправления, понимать временные меры по смягчению последствий и проверять, действительно ли развернуты обновления.
Что касается поддержки ресурсов, OpenAI обещает предоставить субсидированный доступ к сервису Daybreak на сумму 1 миллиард долларов США в рамках программы «Daybreak for Frontline Defenders», направленной на помощь организациям с ограниченными ресурсами безопасности, но отвечающими за критически важные задачи по защите сервисов. Компания также будет предоставлять поддержку по подписке разработчикам программного обеспечения с открытым исходным кодом через Codex для OSS и напрямую спонсировать такие проекты, как Rust Foundation, для предоставления ресурсов для работ по обслуживанию и технических усовершенствований.
В OpenAI отметили, что группы поддержки проектов программного обеспечения с открытым исходным кодом часто ограничены в размерах. Помимо ежедневной работы по разработке, им также необходимо обрабатывать отчеты о безопасности, определять влияние уязвимостей, проверять исправления и обеспечивать совместимость с несколькими версиями программного обеспечения. Эти задачи отнимают много времени, и искусственный интеллект может помочь в анализе кода, выявлении повторяющихся отчетов, написании тестов и проверке исправлений, тем самым снижая рабочую нагрузку на сопровождающих.
Помимо обнаружения и исправления отдельных уязвимостей, OpenAI также предлагает сокращать количество недостатков безопасности, начиная с этапа проектирования программного обеспечения. Компания считает, что ИИ может помочь инженерам выбирать более безопасные настройки по умолчанию, правильно использовать библиотеки безопасности и обнаруживать опасные шаблоны кода на ранних этапах процесса разработки.
Еще одно важное направление — миграция ключевых компонентов программного обеспечения на языки, безопасные для памяти. Многие критические уязвимости возникают из-за ошибок управления памятью, таких как доступ к уже освобожденной памяти или выход за пределы буфера. Использование языка с гарантиями безопасности памяти может устранить большой класс распространенных дефектов в их источнике. Искусственный интеллект может помочь в миграции кода, но поведение, совместимость и безопасность после миграции по-прежнему требуют тестирования и профессиональной проверки.
OpenAI также делает упор на формальную проверку и более сильные механизмы изоляции. Формальная проверка использует математические методы для доказательства того, что программа удовлетворяет определенным свойствам безопасности при явных предположениях, что помогает повысить надежность ключевых компонентов; Технология «песочницы» может ограничить программное обеспечение, обрабатывающее ненадежные файлы, изображения или мультимедийный контент, контролируемой средой. Даже если программа скомпрометирована, это может уменьшить возможности злоумышленников по дальнейшему контролю над всей системой.
В то же время компания признает, что расширение использования искусственного интеллекта в сфере кибербезопасности также потребует более сложных мер по борьбе со злоупотреблениями. OpenAI продолжает корректировать классификатор безопасности для Daybreak, стремясь снизить риск использования этого инструмента для злонамеренных атак. Однако компания заявила, что слишком строгие ограничения также могут препятствовать законным исследованиям в области безопасности, поэтому необходимо найти баланс между открытием возможностей защиты и предотвращением злонамеренного использования.
OpenAI наконец призывает разработчиков программного обеспечения, исследователей, поставщиков услуг сетевой безопасности и корпоративных операторов работать вместе над улучшением этой структуры. Компания надеется сосредоточиться на нескольких вопросах: сколько времени нужно дать защитникам на подготовку, прежде чем уязвимость станет достоянием общественности; когда критические уязвимости могут быть обнаружены заранее; какие организации необходимо предупредить заранее; и как надежно обеспечить исправления отката и альтернативы безопасности, когда обновление старых версий программного обеспечения не может быть выполнено своевременно.
OpenAI также предложила более противоречивый сценарий будущего: интернет-системы могут постепенно создать механизм непрерывного сканирования уязвимостей, уведомлять владельцев веб-сайтов об обнаружении известных уязвимостей и даже напрямую исправлять систему с помощью соответствующей авторизации. Однако этот тип подхода предполагает владение системой, разрешения на управление, риски неправильной эксплуатации и границы ответственности, а также необходимо установить строгие технические и управленческие гарантии.
Этот инцидент с уязвимостью PHP показывает, что искусственный интеллект меняет способ работы сетевой безопасности. В прошлом обнаружение, анализ, устранение и крупномасштабное развертывание серьезных уязвимостей часто требовало долгосрочной координации между несколькими командами; Сегодня передовые модели могут ускорить исследование уязвимостей, но подлинная защита Интернета по-прежнему зависит от того, смогут ли специалисты по сопровождению программного обеспечения, поставщики облачных услуг, предприятия и правительственные учреждения действовать быстро.
Для OpenAI «Patch the Planet» — это не только экстренное реагирование на уязвимости PHP, но и упражнение по изучению скоординированного механизма раскрытия уязвимостей в эпоху искусственного интеллекта. Поскольку способность искусственного интеллекта обнаруживать недостатки безопасности продолжает расти, ключом к конкуренции в области кибербезопасности в будущем может стать не просто обнаружение уязвимости первым, а то, кто сможет быстрее проверить проблему, исправить код и своевременно защитить затронутые системы по всему миру.
Статьи по теме:
PHP выявил серьезные уязвимости безопасности, и глобальные операторы веб-сайтов срочно ввели исправления
Две серьезные уязвимости могут привести к удаленному выполнению кода на сервере. Официальный аварийный патч безопасности PHP
Комментарии