OpenAI ประกาศแผนการแก้ไขช่องโหว่ด้านความปลอดภัยที่ร้ายแรงของ PHP เพื่อส่งเสริมมาตรการป้องกันความปลอดภัยทางไซเบอร์

OpenAI ได้ประกาศเกี่ยวกับการมีส่วนร่วมในการค้นพบและประสานงานการแก้ไขช่องโหว่ด้านความปลอดภัยที่ร้ายแรงสองรายการในภาษาโปรแกรม PHP การดำเนินการครั้งนี้ได้รับการสนับสนุนจากโครงการ "ซ่อมแซมทั้งอินเทอร์เน็ต" ที่ OpenAI เป็นผู้ริเริ่ม โดยร่วมมือกับผู้ดูแลซอฟต์แวร์ นักวิจัยด้านความปลอดภัย ผู้ให้บริการคลาวด์ และหน่วยงานความปลอดภัยทางไซเบอร์ของรัฐบาล เพื่อลดความเสี่ยงจากช่องโหว่ที่ส่งผลกระทบต่อโครงสร้างพื้นฐานของอินเทอร์เน็ตทั่วโลก OpenAI ระบุว่า โมเดลปัญญาประดิษฐ์ขั้นสูงสามารถค้นพบข้อบกพร่องด้านความปลอดภัยของซอฟต์แวร์ที่มีผลกระทบกว้างขวาง และวิธีการเปลี่ยนการค้นพบเหล่านี้ให้เป็นมาตรการป้องกันที่มีประสิทธิภาพอย่างรวดเร็ว กลายเป็นประเด็นที่สำคัญมากขึ้นในด้านความปลอดภัยทางไซเบอร์

ในเหตุการณ์นี้ บริษัทความปลอดภัย Calif ใช้ GPT-5.6 Sol ค้นพบข้อบกพร่องด้านความปลอดภัยที่ร้ายแรง ขณะที่บริษัท Wiz ได้ค้นพบและรายงานช่องโหว่ที่เกี่ยวข้องอีกสองรายการอย่างอิสระ ทีมงานดูแล PHP เป็นผู้รับผิดชอบในการนำการแก้ไขช่องโหว่และการเผยแพร่เวอร์ชันที่ปลอดภัย OpenAI, Wiz, Cloudflare และพันธมิตรอื่น ๆ ได้ให้การสนับสนุนด้านการวิจัยทางเทคนิค วิศวกรรม และการประสานงาน เพื่อช่วยให้หน่วยงานที่เกี่ยวข้องเตรียมการป้องกันก่อนที่จะมีการเปิดเผยช่องโหว่ PHP เป็นภาษาการเขียนโปรแกรมแบบโอเพ่นซอร์สที่ใช้กันอย่างแพร่หลายสำหรับเว็บไซต์และแอปพลิเคชันทางเว็บ โดยมีบริการอินเทอร์เน็ตจำนวนมากที่พึ่งพามันในการจัดการคำขอเว็บ การดำเนินการฐานข้อมูล และตรรกะธุรกิจในเบื้องหลัง

ดังนั้น ผลกระทบจากช่องโหว่ที่ร้ายแรงใน PHP อาจส่งผลกระทบอย่างรวดเร็วต่อเว็บไซต์ บริการคลาวด์ และระบบขององค์กรจำนวนมาก

OpenAI ใช้เทคโนโลยี AI ช่วยแก้ไขช่องโหว่ PHP

ช่องโหว่ทั้งสองที่ค้นพบในครั้งนี้ได้รับการจัดอันดับว่าเป็นระดับร้ายแรง ซึ่งอาจทำให้ผู้โจมตีสามารถดำเนินการรหัสได้จากระยะไกลโดยไม่ต้องมีการตรวจสอบตัวตน ทีมพัฒนา PHP ได้เผยแพร่เวอร์ชันที่แก้ไขเมื่อวันที่ 21 ตุลาคม และขอให้ผู้ใช้ทำการอัปเกรดทันที OpenAI ระบุว่า เหตุการณ์ครั้งนี้เน้นย้ำถึงบทบาทสองด้านของปัญญาประดิษฐ์ในด้านความปลอดภัยทางไซเบอร์ ในด้านหนึ่ง โมเดลขั้นสูงสามารถช่วยนักวิจัยค้นพบข้อบกพร่องที่ซ่อนอยู่ในซอฟต์แวร์ที่มีความเสถียรมาเป็นเวลานาน ในขณะที่ในอีกด้านหนึ่ง ความสามารถเดียวกันนี้อาจถูกผู้โจมตีใช้ในการพัฒนาเครื่องมือและโปรแกรมโจมตีอย่างรวดเร็ว

ดังนั้น ทีมความปลอดภัยไม่ควรให้ความสำคัญเฉพาะกับการค้นพบช่องโหว่ แต่ต้องสร้างกลไกที่มีประสิทธิภาพเพื่อให้แน่ใจว่าช่องโหว่ได้รับการแก้ไขอย่างทันท่วงที และลดความเสี่ยงจากการโจมตีให้มากที่สุดก่อนที่จะมีการติดตั้งแพตช์ที่เกี่ยวข้อง

จากข้อมูลในปัจจุบัน ช่องโหว่นี้ถูกค้นพบโดยปัญญาประดิษฐ์ขั้นสูงก่อนที่ผู้โจมตีจะค้นพบและใช้ประโยชน์ ซึ่งช่วยให้ผู้ดูแลซอฟต์แวร์มีเวลาเตรียมการป้องกันที่มีค่า OpenAI เรียกช่วงเวลานี้ว่า "หน้าต่างของผู้ป้องกัน" ซึ่งเป็นช่วงเวลาที่ฝ่ายป้องกันสามารถค้นพบปัญหาก่อนที่ผู้โจมตีจะทำได้ กำหนดแผนการแก้ไข และติดตั้งมาตรการป้องกัน อย่างไรก็ตาม หน้าต่างนี้จะไม่คงอยู่ตลอดไป เมื่อความสามารถของโมเดลปัญญาประดิษฐ์พัฒนาไปเรื่อย ๆ ช่วงเวลาระหว่างการค้นพบช่องโหว่และการพัฒนาเครื่องมือโจมตีอาจค่อย ๆ ลดลง

เพื่อวัตถุประสงค์นี้ OpenAI ได้เสนอกรอบการตอบสนองที่ประสานงานสำหรับช่องโหว่ที่ร้ายแรง ซึ่งประกอบด้วยห้าขั้นตอน ขั้นแรก ผู้ดูแลซอฟต์แวร์ นักวิจัย และพันธมิตรด้านเทคโนโลยีที่สำคัญจะร่วมกันตรวจสอบช่องโหว่ ประเมินขอบเขตของผลกระทบ พัฒนาและทดสอบแผนการแก้ไข และใช้โมเดลขั้นสูงในการทดสอบเชิงรุกเพื่อตรวจสอบว่าแพตช์สามารถหยุดการโจมตีได้จริงหรือไม่ และค้นหาตัวแปรช่องโหว่ที่เกี่ยวข้อง ขั้นที่สอง ให้เวลาที่เพียงพอสำหรับองค์กรที่ได้รับผลกระทบในการเตรียมการ โดยให้ข้อมูลทางเทคนิคที่จำเป็นตามความรับผิดชอบในการป้องกันของแต่ละฝ่ายในแต่ละขั้นตอน ขั้นที่สาม ร่วมมือกับหน่วยงานความปลอดภัยทางไซเบอร์ของรัฐบาลเพื่อให้แน่ใจว่าผู้ดำเนินการโครงสร้างพื้นฐานที่สำคัญได้รับการแจ้งเตือนอย่างทันท่วงที

ในเหตุการณ์ช่องโหว่ PHP OpenAI ได้ติดต่อกับกลุ่มงานข่าวกรองพิเศษของทำเนียบขาวสหรัฐอเมริกา สำนักงานผู้อำนวยการด้านไซเบอร์แห่งชาติ และหน่วยงานความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) และได้ประสานงานกับพันธมิตรระหว่างประเทศ

ขั้นที่สี่ เมื่อแผนการแก้ไขและแผนการเปิดเผยข้อมูลมีความเสถียรแล้ว จะขยายขอบเขตการมีส่วนร่วมให้กว้างขึ้น เพื่อให้ผู้จัดจำหน่ายซอฟต์แวร์ ผู้ให้บริการคลาวด์ ผู้ให้บริการโฮสติ้ง และทีมความปลอดภัยขององค์กรสามารถเตรียมการอัปเดตได้ล่วงหน้า ขั้นที่ห้า หลังจากการเผยแพร่แพตช์ จะมีการให้คำแนะนำในการแก้ไขที่ชัดเจนแก่สาธารณะ และติดตามสถานการณ์การติดตั้งอย่างต่อเนื่อง OpenAI ได้ชี้ให้เห็นว่า การแบ่งปันข้อมูลช่องโหว่ล่วงหน้าเป็นเรื่องที่มีความขัดแย้งอย่างชัดเจน ผู้ให้บริการคลาวด์ ผู้ผลิตความปลอดภัยทางไซเบอร์ และผู้ดำเนินการโครงสร้างพื้นฐานที่สำคัญต้องการรายละเอียดทางเทคนิคที่เพียงพอเพื่อเตรียมการป้องกันอย่างมีประสิทธิภาพ แต่แม้ข้อมูลช่องโหว่ที่จำกัดก็อาจช่วยให้ผู้โจมตีคาดเดาตำแหน่งของข้อบกพร่องได้

ดังนั้น ข้อมูลที่เกี่ยวข้องควรจัดเตรียมตามความรับผิดชอบในการป้องกันของผู้เข้าร่วม ความต้องการเวลาเตรียมการ และความสามารถในการจัดการข้อมูลที่ละเอียดอ่อน หากช่องโหว่ถูกใช้จริง รายละเอียดทางเทคนิครั่วไหลโดยบังเอิญ หรือการเปิดเผยแพตช์เองเปิดเผยตำแหน่งของช่องโหว่ ตารางการเปิดเผยที่กำหนดไว้ควรได้รับการประเมินใหม่ PHP เพื่อช่วยให้มากขึ้นในการดำเนินการขององค์กร OpenAI ระบุว่าจะจัดหาเครื่องมือการตรวจสอบเวอร์ชัน PHP และวางแผนที่จะเปิดตัวทักษะ Codex ที่เกี่ยวข้องเพื่อช่วยผู้ดำเนินการระบบในการระบุเวอร์ชัน PHP ที่อาจมีความเสี่ยง OpenAI ยังได้รวบรวมข้อมูลการเปิดเผยช่องโหว่และคำแนะนำในการป้องกันผ่านโครงการ "ซ่อมแซมทั้งอินเทอร์เน็ต"

ในด้านการสนับสนุนทรัพยากร OpenAI ได้ให้คำมั่นว่าจะให้บริการ Daybreak มูลค่า 1,000 ล้านดอลลาร์ผ่านโครงการ "แสงสว่างของผู้ป้องกันแนวหน้า" โดยมุ่งเน้นช่วยเหลือองค์กรที่มีทรัพยากรด้านความปลอดภัยจำกัดแต่มีภารกิจในการป้องกันบริการที่สำคัญ; โดยให้การสนับสนุนการสมัครสมาชิกแก่ผู้ดูแลซอฟต์แวร์โอเพ่นซอร์สผ่าน Codex for OSS และสนับสนุนโครงการต่าง ๆ เช่น Rust Foundation โดยตรง OpenAI ยังเสนอว่า ควรลดข้อบกพร่องด้านความปลอดภัยตั้งแต่ขั้นตอนการออกแบบซอฟต์แวร์ รวมถึงช่วยวิศวกรในการเลือกการตั้งค่าเริ่มต้นที่ปลอดภัยยิ่งขึ้น ย้ายส่วนประกอบที่สำคัญไปยังภาษาที่ปลอดภัยต่อหน่วยความจำ ใช้การตรวจสอบเชิงรูปแบบ และกลไกการแยกที่เข้มงวดขึ้น

บริษัทได้ยอมรับว่าการขยายการใช้ AI ในด้านความปลอดภัยทางไซเบอร์ต้องการมาตรการป้องกันการใช้ในทางที่ผิดที่ดีกว่า และกำลังปรับปรุงตัวกรองความปลอดภัยสำหรับ Daybreak เพื่อสร้างสมดุลระหว่างความสามารถในการป้องกันที่เปิดเผยกับการป้องกันการใช้งานที่ไม่ดี

OpenAI สุดท้ายนี้ได้เรียกร้องให้ผู้ดูแลซอฟต์แวร์ นักวิจัย ผู้ให้บริการความปลอดภัยทางไซเบอร์ และผู้ดำเนินการองค์กรร่วมกันปรับปรุงกรอบนี้ และหารือเกี่ยวกับเวลาเตรียมการก่อนการเปิดเผยช่องโหว่ เงื่อนไขการเปิดเผยล่วงหน้า ผู้รับการแจ้งเตือน และทางเลือกด้านความปลอดภัยสำหรับซอฟต์แวร์เวอร์ชันเก่า บริษัทยังเสนอแนวคิดในอนาคตที่มีความขัดแย้งมากขึ้น: ระบบอินเทอร์เน็ตอาจค่อย ๆ สร้างกลไกการสแกนช่องโหว่ที่ต่อเนื่อง โดยเมื่อค้นพบช่องโหว่ที่รู้จัก จะมีการแจ้งเจ้าของเว็บไซต์ และแม้ในกรณีที่ได้รับอนุญาต จะมีการแก้ไขระบบโดยตรง แต่เรื่องนี้เกี่ยวข้องกับการเป็นเจ้าของระบบ สิทธิในการจัดการ ความเสี่ยงจากการทำผิดพลาด และขอบเขตความรับผิดชอบ ซึ่งยังต้องการการรับประกันด้านเทคนิคและการบริหารจัดการที่เข้มงวด