OpenAI baru-baru ini mengumumkan keterlibatannya dalam menemukan dan mengoordinasikan perbaikan dua kerentanan keamanan serius dalam bahasa pemrograman PHP. Tindakan ini didorong oleh program "Memperbaiki Seluruh Internet" yang dimulai oleh OpenAI, yang menggabungkan pemelihara perangkat lunak, peneliti keamanan, penyedia layanan cloud, dan lembaga keamanan siber pemerintah untuk bersama-sama mengurangi risiko yang ditimbulkan oleh kerentanan terhadap infrastruktur internet global. OpenAI menyatakan bahwa model kecerdasan buatan yang canggih kini mampu menemukan cacat keamanan perangkat lunak yang memiliki dampak luas, dan bagaimana mengubah temuan ini dengan cepat menjadi langkah-langkah perlindungan yang nyata menjadi isu yang semakin penting di bidang keamanan siber.
Dalam insiden ini, perusahaan keamanan Calif menggunakan GPT-5.6 Sol untuk menemukan sebuah cacat keamanan serius, sementara perusahaan keamanan Wiz secara independen menemukan dan melaporkan dua kerentanan terkait. Tim pemelihara PHP bertanggung jawab untuk memimpin perbaikan kerentanan dan peluncuran versi aman, sementara OpenAI, Wiz, Cloudflare, dan mitra lainnya memberikan dukungan penelitian teknis, dukungan rekayasa, dan koordinasi untuk membantu lembaga terkait mempersiapkan perlindungan sebelum kerentanan diumumkan. PHP adalah bahasa pemrograman sumber terbuka yang banyak digunakan untuk situs web dan aplikasi web, di mana banyak layanan internet bergantung padanya untuk menangani permintaan halaman, operasi basis data, dan logika bisnis belakang layar.
Oleh karena itu, dampak dari kerentanan serius di lapisan dasar PHP dapat dengan cepat mempengaruhi banyak situs web, layanan cloud, dan sistem perusahaan.
OpenAI Membantu Memperbaiki Kerentanan PHP Melalui Teknologi AI
Kedua kerentanan yang ditemukan kali ini dinilai sebagai tingkat serius, yang dapat memungkinkan penyerang untuk mengeksekusi kode dari jarak jauh tanpa otentikasi. Tim pengembang PHP telah merilis versi perbaikan pada 21 Oktober dan mendesak pengguna untuk segera melakukan pembaruan. OpenAI menyatakan bahwa insiden ini menyoroti peran ganda kecerdasan buatan di bidang keamanan siber. Di satu sisi, model canggih dapat membantu peneliti menemukan cacat yang telah lama tersembunyi dalam perangkat lunak yang matang; di sisi lain, kemampuan yang sama juga dapat digunakan oleh penyerang untuk dengan cepat mengembangkan alat eksploitasi dan program serangan.
Oleh karena itu, tim keamanan tidak hanya dapat fokus pada apakah kerentanan dapat ditemukan, tetapi juga harus membangun mekanisme yang efisien untuk memastikan kerentanan diperbaiki tepat waktu dan meminimalkan risiko serangan sebanyak mungkin sebelum patch terkait diterapkan.
Menurut informasi saat ini, kerentanan kali ini ditemukan dengan bantuan kecerdasan buatan sebelum penyerang menemukannya dan memanfaatkannya, memberikan waktu persiapan pertahanan yang berharga bagi pemelihara perangkat lunak. OpenAI menyebut fase ini sebagai "jendela pembela," yaitu waktu di mana pihak yang bertahan dapat menemukan masalah, merumuskan rencana perbaikan, dan menerapkan langkah perlindungan sebelum penyerang. Namun, jendela ini tidak akan selalu ada. Seiring dengan peningkatan kemampuan model kecerdasan buatan, selisih waktu antara menemukan kerentanan dan mengembangkan metode serangan mungkin akan semakin menyusut.
Untuk itu, OpenAI mengusulkan kerangka respons koordinasi yang ditujukan untuk kerentanan serius, yang terdiri dari lima tahap. Pertama, pemelihara perangkat lunak, peneliti, dan mitra teknologi kunci bersama-sama memverifikasi kerentanan, menilai dampaknya, mengembangkan dan menguji rencana perbaikan, serta melakukan pengujian adversarial menggunakan model canggih untuk memeriksa apakah patch benar-benar menghentikan serangan dan mencari varian kerentanan terkait. Kedua, memberikan waktu persiapan yang cukup bagi organisasi yang terkena dampak, dengan menyediakan informasi teknis yang diperlukan secara bertahap sesuai dengan tanggung jawab perlindungan masing-masing pihak yang terlibat. Ketiga, bekerja sama dengan lembaga keamanan siber pemerintah untuk memastikan operator infrastruktur kritis menerima peringatan tepat waktu.
Dalam insiden kerentanan PHP, OpenAI dan mitra berkomunikasi dengan Tim Intelijen Super Gedung Putih AS, Kantor Direktur Jaringan Nasional, dan Cybersecurity and Infrastructure Security Agency (CISA), serta melakukan koordinasi dengan mitra internasional.
Keempat, setelah rencana perbaikan dan rencana pengungkapan publik menjadi stabil, memperluas partisipasi untuk memungkinkan lebih banyak penerbit perangkat lunak, penyedia layanan cloud, penyedia layanan hosting, dan tim keamanan perusahaan mempersiapkan pembaruan lebih awal. Kelima, setelah patch dirilis, memberikan panduan perbaikan yang jelas kepada publik dan terus memantau situasi penerapan. OpenAI secara khusus mencatat bahwa berbagi informasi kerentanan sebelumnya memiliki dilema yang jelas. Penyedia layanan cloud, vendor keamanan siber, dan operator infrastruktur kritis memerlukan detail teknis yang cukup untuk mempersiapkan langkah perlindungan secara efektif, tetapi bahkan informasi kerentanan yang terbatas pun dapat membantu penyerang memperkirakan lokasi cacat.
Oleh karena itu, informasi terkait harus diberikan secara bertahap sesuai dengan tanggung jawab perlindungan peserta, kebutuhan waktu persiapan, dan kemampuan untuk menangani informasi sensitif. Jika kerentanan telah dieksploitasi, detail teknis secara tidak sengaja bocor, atau patch yang dipublikasikan sendiri mengekspos lokasi kerentanan, jadwal pengungkapan yang direncanakan harus dievaluasi ulang. Untuk membantu lebih banyak organisasi mengambil tindakan, OpenAI menyatakan akan menyediakan alat pemeriksaan versi PHP dan merencanakan peluncuran keterampilan Codex yang mendukung untuk membantu operator sistem mengidentifikasi versi PHP yang mungkin berisiko. OpenAI juga mengumpulkan informasi pengungkapan kerentanan dan panduan perlindungan melalui proyek "Memperbaiki Seluruh Internet."
Dari segi dukungan sumber daya, OpenAI berkomitmen untuk menyediakan akses layanan Daybreak bersubsidi senilai $1 miliar melalui program "Cahaya Fajar Pembela Garis Depan," yang fokus membantu organisasi dengan sumber daya keamanan terbatas yang menjalankan tugas perlindungan layanan kritis; menyediakan dukungan langganan kepada pemelihara perangkat lunak sumber terbuka melalui Codex for OSS, dan secara langsung mensponsori proyek seperti Rust Foundation. OpenAI juga mengusulkan untuk mengurangi cacat keamanan sejak tahap desain perangkat lunak, termasuk membantu insinyur memilih pengaturan default yang lebih aman, memindahkan komponen kritis ke bahasa yang aman dari memori, serta menerapkan verifikasi formal dan mekanisme isolasi yang lebih kuat.
Perusahaan mengakui bahwa memperluas penggunaan AI di bidang keamanan siber memerlukan langkah-langkah pencegahan penyalahgunaan yang lebih baik, dan sedang menyesuaikan pengklasifikasi keamanan untuk Daybreak, berusaha mencapai keseimbangan antara kemampuan pertahanan terbuka dan pencegahan penggunaan jahat.
OpenAI akhirnya menyerukan pemelihara perangkat lunak, peneliti, penyedia layanan keamanan siber, dan operator perusahaan untuk bersama-sama menyempurnakan kerangka ini, serta mendiskusikan waktu persiapan sebelum pengungkapan kerentanan, kondisi untuk pengungkapan sebelumnya, objek peringatan, dan alternatif keamanan untuk perangkat lunak versi lama. Perusahaan juga mengusulkan visi masa depan yang lebih kontroversial: sistem internet mungkin secara bertahap membangun mekanisme pemindaian kerentanan yang berkelanjutan, yang akan memberi tahu pemilik situs web setelah menemukan kerentanan yang diketahui, bahkan memperbaiki sistem secara langsung dengan izin, tetapi ini melibatkan kepemilikan sistem, hak manajemen, risiko kesalahan operasi, dan batas tanggung jawab, yang masih memerlukan jaminan teknis dan tata kelola yang ketat.