Ad agosto, team separati di Calif e Wiz, di proprietà di Google, hanno usato strumenti di IA avanzati per sondare PHP, il linguaggio web che si stima supporti circa il 70% dei siti web. Hanno scoperto due vulnerabilità critiche—in seguito soprannominate PHP2Shell—rimaste nascoste per più di un decennio. Il ricercatore di Wiz Sagi Tzadik inizialmente sospettò un errore dell’IA: “I modelli tendono ad allucinare.” Ma l’exploit funzionava.¹

La scoperta ha offerto una rara vittoria difensiva. I ricercatori si sono coordinati privatamente con la PHP Foundation e grandi aziende di infrastrutture per sviluppare patch prima di rendere pubblica la notizia. OpenAI ha definito le falle “uno dei problemi di sicurezza più rilevanti degli ultimi tempi”, avvertendo al contempo che le stesse capacità dell’IA avrebbero potuto aiutare rapidamente gli aggressori a sviluppare strumenti offensivi.²

Quel vantaggio ha cominciato a erodersi in ottobre. Amazon ha dichiarato di aver rilevato un tentativo di exploit il 17 ottobre, giorni prima della divulgazione prevista, mentre resoconti e un video di proof-of-concept pubblicato accidentalmente hanno accelerato la corsa ai ripari. Una volta diffusasi la notizia, Cloudflare ha registrato migliaia di tentativi prima della divulgazione, poi decine di migliaia entro 45 minuti, centinaia di migliaia entro due ore e infine milioni.³

Mercoledì, la PHP Foundation ha rilasciato patch di emergenza. La NSA e altre agenzie hanno consigliato alle organizzazioni impossibilitate ad aggiornare immediatamente di disconnettere i sistemi. I governi, dalla Finlandia e dai Paesi Bassi al Giappone, hanno fatto proprio questo; la Gran Bretagna ha dichiarato che 32 servizi pubblici erano temporaneamente indisponibili. Per gli utenti, l’interruzione è stata ordinaria ma rivelatrice: lo sviluppatore di Helsinki Kalle Pusa non ha potuto organizzare il ritiro di un vecchio divano, affermando che l’infrastruttura digitale “intessuta nel tessuto della nostra società” era stata lacerata.⁴

L’incidente ha accentuato una divisione nel mondo della cybersicurezza. Gli ottimisti sostengono che l’IA abbia rivelato un disastro prima che si sviluppasse pienamente; gli operatori di sistemi obsoleti e non più supportati affermano che la velocità dello sfruttamento assistito dall’IA abbia spezzato il vecchio ciclo di applicazione delle patch e pianificazione. Mentre si affrettavano ad arrivare strumenti commerciali, Aravind Srinivas ha promosso crediti gratuiti per un servizio di IA che verifica l’esposizione di siti PHP e configurazioni di distribuzione.Aravind Srinivas (AravSrinivas)⁵

Per ora, le patch sono disponibili e le compromissioni confermate sono rimaste limitate nelle prime valutazioni. Ma PHP2Shell ha reso evidente la nuova realtà: l’IA potrebbe individuare per prima le falle più profonde di internet—senza garantire ai difensori tempo sufficiente per correggerle.