I ricercatori di Calif e Wiz, di proprietà di Google, hanno utilizzato modelli di IA avanzati per scoprire due vulnerabilità critiche in PHP, il linguaggio vecchio di decenni alla base di WordPress, Drupal e, secondo alcune stime, di circa il 70% dei siti web. OpenAI ha definito la scoperta «uno dei problemi di sicurezza più rilevanti degli ultimi tempi», pur riconoscendo la tensione centrale: le stesse capacità che individuano le falle possono aiutare gli aggressori a trasformarle in armi.¹

Il pericolo non era del tutto teorico. Amazon ha dichiarato di aver rilevato un tentativo di exploit quattro giorni prima della divulgazione pubblica e in seguito ha avvertito che le falle venivano «ampiamente sfruttate in natura». La risposta della NSA è stata netta: installare immediatamente gli aggiornamenti, oppure mettere i sistemi offline finché non potranno essere messi in sicurezza.²

Mercoledì, la PHP Foundation ha rilasciato le patch, dando il via a una corsa mondiale per spegnere e aggiornare i sistemi. La Gran Bretagna ha dichiarato che 32 servizi governativi sono stati messi offline a titolo precauzionale; sono stati interessati portali olandesi di identità digitale e servizi pubblici; e anche siti in Germania, Giappone e Finlandia sono andati offline. A Helsinki, lo sviluppatore Kalle Pusa ha descritto l’impatto dell’interruzione su scala umana: i servizi sono «intessuti nel tessuto della nostra società» e, per due giorni, «si potrebbe dire che gran parte del tessuto sia stata strappata».³

Per i difensori, la priorità era la velocità. Il CEO di Cloudflare Matthew Prince ha affermato che i tentativi di exploit osservati sono passati da migliaia prima della divulgazione a milioni dopo, sottolineando quanto poco tempo gli amministratori avessero per agire.³ Tuttavia, Dataminr ha riferito che, nel pomeriggio di giovedì, aveva rilevato scansioni, fingerprinting ed exploit non funzionanti, ma «nessuna compromissione nota» — un promemoria del fatto che le interruzioni precauzionali miravano a evitare una catastrofe, non erano la prova che ogni servizio fosse già stato violato.⁴

Le conseguenze sono state disomogenee. Le grandi organizzazioni potevano considerare un’interruzione un «piccolo intoppo», ha affermato il fornitore britannico per le piccole imprese Alistair Greaves; le aziende più piccole, inclusa la sua, hanno perso servizi fino a sette ore.³ Le installazioni PHP più vecchie e non supportate si trovano davanti a una scelta più dura: applicare le patch, se possibile, oppure rischiare di scomparire.

Ora anche la risposta viene automatizzata. Aravind Srinivas ha dichiarato che la sua azienda offriva crediti per uno strumento in grado di verificare l’esposizione dei siti PHP e delle configurazioni di deployment GitHub e di dare priorità alle correzioni.Aravind Srinivas (AravSrinivas)⁵ Ma un’analisi ha formulato in modo netto la lezione più ampia: questa volta i difensori hanno ottenuto un vantaggio iniziale grazie all’IA; gli incidenti futuri potrebbero lasciare molto meno spazio tra la scoperta e l’attacco.⁶