OpenAI hat kürzlich den Prozess zur Entdeckung und Koordination der Behebung von zwei schwerwiegenden Sicherheitsanfälligkeiten in der Programmiersprache PHP bekannt gegeben. Diese Initiative wird durch das von OpenAI ins Leben gerufene Programm „Patch the Internet“ vorangetrieben, das Software-Wartende, Sicherheitsforscher, Cloud-Diensteanbieter und staatliche Cyber-Sicherheitsbehörden vereint, um die Risiken von Sicherheitsanfälligkeiten für die globale Internet-Infrastruktur zu verringern. OpenAI erklärt, dass fortschrittliche KI-Modelle in der Lage sind, weitreichende Software-Sicherheitsmängel zu entdecken, und wie diese Entdeckungen schnell in praktische Schutzmaßnahmen umgesetzt werden können, wird zu einem zunehmend wichtigen Thema im Bereich der Cyber-Sicherheit.
In diesem Vorfall entdeckte das Sicherheitsunternehmen Calif mit Hilfe von GPT-5.6 Sol eine schwerwiegende Sicherheitsanfälligkeit, während das Sicherheitsunternehmen Wiz unabhängig zwei verwandte Sicherheitsanfälligkeiten entdeckte und meldete. Das PHP-Wartungsteam war für die Leitung der Behebung der Sicherheitsanfälligkeiten und die Veröffentlichung sicherer Versionen verantwortlich, während OpenAI, Wiz, Cloudflare und andere Partner technische Forschung, Ingenieursupport und Koordinationsarbeit leisteten, um den betroffenen Organisationen zu helfen, sich vor der Offenlegung der Sicherheitsanfälligkeiten zu schützen. PHP ist eine weit verbreitete Open-Source-Programmiersprache, die für Websites und Webanwendungen verwendet wird und von vielen Internetdiensten zur Verarbeitung von Webseitenanfragen, Datenbankoperationen und Backend-Geschäftslogik abhängig ist.
Daher könnte die Auswirkung der schwerwiegenden Sicherheitsanfälligkeiten in der PHP-Basis schnell viele Websites, Cloud-Dienste und Unternehmenssysteme betreffen.
OpenAI unterstützt die Behebung von PHP-Sicherheitsanfälligkeiten durch KI-Technologie
Die beiden entdeckten Sicherheitsanfälligkeiten wurden als schwerwiegend eingestuft und könnten es Angreifern ermöglichen, ohne Authentifizierung Code aus der Ferne auszuführen. Das PHP-Entwicklungsteam veröffentlichte am 21. Oktober eine korrigierte Version und forderte die Benutzer auf, sofort ein Upgrade durchzuführen. OpenAI erklärt, dass dieser Vorfall die doppelte Rolle der künstlichen Intelligenz im Bereich der Cyber-Sicherheit verdeutlicht. Einerseits können fortschrittliche Modelle Forschern helfen, langfristig verborgene Mängel in ausgereifter Software zu entdecken; andererseits könnten dieselben Fähigkeiten auch von Angreifern genutzt werden, um schnell Exploits und Angriffsprogramme zu entwickeln.
Daher dürfen sich Sicherheitsteams nicht nur darauf konzentrieren, ob Sicherheitsanfälligkeiten entdeckt werden können, sondern müssen auch ein effektives System aufbauen, um sicherzustellen, dass Sicherheitsanfälligkeiten rechtzeitig behoben werden und das Risiko von Angriffen so weit wie möglich verringert wird, bevor die entsprechenden Patches bereitgestellt werden.
Nach den derzeit verfügbaren Informationen wurden die Sicherheitsanfälligkeiten von fortschrittlicher künstlicher Intelligenz entdeckt, bevor Angreifer sie entdeckten und ausnutzten, was den Software-Wartenden wertvolle Vorbereitungszeit für die Verteidigung verschaffte. OpenAI bezeichnet diese Phase als „Defender Window“, also das Zeitfenster, in dem die Verteidiger Probleme vor den Angreifern entdecken, Lösungen entwickeln und Schutzmaßnahmen bereitstellen können. Dieses Fenster wird jedoch nicht dauerhaft bestehen bleiben. Mit der kontinuierlichen Verbesserung der Fähigkeiten von KI-Modellen könnte der Zeitunterschied zwischen der Entdeckung von Sicherheitsanfälligkeiten und der Entwicklung von Angriffsmethoden allmählich verkürzt werden.
Zu diesem Zweck hat OpenAI einen Koordinationsrahmen für schwerwiegende Sicherheitsanfälligkeiten vorgeschlagen, der hauptsächlich fünf Phasen umfasst. Zunächst validieren Software-Wartende, Forscher und wichtige technische Partner gemeinsam die Sicherheitsanfälligkeiten, bewerten den Umfang der Auswirkungen, entwickeln und testen Lösungen und führen mit fortschrittlichen Modellen Gegenmaßnahmen durch, um zu überprüfen, ob die Patches tatsächlich Angriffe verhindern und um verwandte Sicherheitsanfälligkeiten zu identifizieren. Zweitens wird den betroffenen Organisationen ausreichend Vorbereitungszeit eingeräumt, und es werden je nach den tatsächlichen Schutzverantwortlichkeiten der Beteiligten schrittweise notwendige technische Informationen bereitgestellt. Drittens wird in Zusammenarbeit mit staatlichen Cyber-Sicherheitsbehörden sichergestellt, dass Betreiber kritischer Infrastrukturen rechtzeitig gewarnt werden.
Im Fall der PHP-Sicherheitsanfälligkeiten hat OpenAI mit Partnern Kontakt zu den Super-Intelligence-Task-Forces des Weißen Hauses, dem Büro des nationalen Cyber-Direktors und der Cyber-Sicherheits- und Infrastruktur-Sicherheitsbehörde (CISA) aufgenommen und mit internationalen Partnern koordiniert.
Viertens, nachdem die Lösungen und der Plan zur öffentlichen Offenlegung stabilisiert wurden, wird der Teilnehmerkreis erweitert, um mehr Softwareanbieter, Cloud-Diensteanbieter, Hosting-Diensteanbieter und Unternehmenssicherheitsteams aufzufordern, sich im Voraus auf Updates vorzubereiten. Fünftens werden nach der Veröffentlichung der Patches klare Anleitungen zur Behebung an die Öffentlichkeit bereitgestellt, und die Bereitstellung wird kontinuierlich überwacht. OpenAI weist besonders darauf hin, dass das vorzeitige Teilen von Informationen über Sicherheitsanfälligkeiten ein offensichtliches Dilemma darstellt. Cloud-Diensteanbieter, Cyber-Sicherheitsunternehmen und Betreiber kritischer Infrastrukturen benötigen ausreichende technische Details, um sich effektiv auf Schutzmaßnahmen vorzubereiten, aber selbst begrenzte Informationen über Sicherheitsanfälligkeiten könnten Angreifern helfen, den Standort der Mängel zu ermitteln.
Daher sollten relevante Informationen schrittweise entsprechend den Schutzverantwortlichkeiten der Teilnehmer, den Anforderungen an die Vorbereitungszeit und der Fähigkeit zur Handhabung sensibler Informationen bereitgestellt werden. Wenn Sicherheitsanfälligkeiten tatsächlich ausgenutzt wurden, technische Details versehentlich offengelegt wurden oder die öffentliche Bereitstellung von Patches selbst den Standort der Sicherheitsanfälligkeiten offenbart, sollte der ursprüngliche Zeitplan für die Offenlegung neu bewertet werden. Um mehr Organisationen zu helfen, Maßnahmen zu ergreifen, erklärte OpenAI, dass es ein Tool zur Überprüfung von PHP-Versionen bereitstellen wird und plant, unterstützende Codex-Fähigkeiten einzuführen, um Systembetreibern zu helfen, potenziell gefährdete PHP-Versionen zu identifizieren. OpenAI hat auch Informationen über Sicherheitsanfälligkeiten und Schutzleitfäden im Rahmen des Projekts „Patch the Internet“ zusammengefasst.
In Bezug auf die Unterstützung von Ressourcen hat OpenAI zugesagt, im Rahmen des Programms „Dawn of the Frontline Defenders“ einen Zuschuss von 1 Milliarde USD für den Zugang zu Daybreak-Diensten bereitzustellen, um Organisationen zu unterstützen, die über begrenzte Sicherheitsressourcen verfügen, aber kritische Schutzaufgaben übernehmen; durch Codex for OSS Abonnementsupport für Open-Source-Software-Wartende bereitzustellen und direkt Projekte wie die Rust Foundation zu fördern. OpenAI hat auch vorgeschlagen, dass Sicherheitsmängel bereits in der Software-Designphase reduziert werden sollten, einschließlich der Unterstützung von Ingenieuren bei der Auswahl sichererer Standardeinstellungen, der Migration kritischer Komponenten in speichersichere Sprachen, der Anwendung formaler Verifikation und stärkerer Isolationsmechanismen.
Das Unternehmen erkennt an, dass die erweiterte Nutzung von KI im Bereich der Cyber-Sicherheit verbesserte Missbrauchsverhütungsmaßnahmen erfordert und arbeitet daran, die Sicherheitsklassifizierer für Daybreak anzupassen, um ein Gleichgewicht zwischen offenen Verteidigungsfähigkeiten und dem Schutz vor böswilliger Nutzung zu finden.
OpenAI ruft schließlich Software-Wartende, Forscher, Cyber-Sicherheitsdienstleister und Unternehmensbetreiber dazu auf, diesen Rahmen gemeinsam zu verbessern und Fragen zu erörtern, die sich auf die Vorbereitungszeit vor der Offenlegung von Sicherheitsanfälligkeiten, die Bedingungen für die vorzeitige Offenlegung, die Zielgruppen für Warnungen und sichere Alternativen für veraltete Software beziehen. Das Unternehmen schlägt auch eine umstrittenere Zukunftsvision vor: Internet-Systeme könnten schrittweise einen kontinuierlichen Sicherheitsanfälligkeitsscanning-Mechanismus etablieren, der Website-Betreiber nach der Entdeckung bekannter Sicherheitsanfälligkeiten benachrichtigt und sogar mit Genehmigung direkt Systeme repariert. Dies wirft jedoch Fragen zu Systembesitz, Verwaltungsrechten, Risiken von Fehlbedienungen und Verantwortungsgrenzen auf, die strengen technischen und governance-basierten Garantien bedürfen.