All'inizio di agosto, un ricercatore di Wiz ha chiesto a un agente IA di verificare se una debolezza di WordPress potesse applicarsi a Drupal. L'agente ha fallito quel compito, ma ha invece portato alla luce una falla di PHP rimasta nascosta a lungo. La scoperta ha inizialmente suscitato scetticismo perché «i modelli tendono ad allucinare», ha dichiarato il ricercatore Sagi Tzadik, prima che l'exploit si rivelasse reale.¹

Quella scoperta non era isolata. Calif, collaborando con OpenAI, aveva individuato una falla correlata e i gruppi si sono coordinati con i manutentori di PHP per rintracciare i bug e preparare una correzione. Per i difensori, è stata una vittoria rara: l'IA aveva condensato quelli che Tzadik ha definito «mesi di ricerca tradizionale» in giorni o ore.¹ Ma la stessa accelerazione ha acuito il pericolo. Un esperto di cybersicurezza ha avvertito che l'IA aveva spezzato il vecchio ciclo di risposta, consentendo persino ad attaccanti poco esperti di sfruttare gravi falle nel giro di pochi minuti.²

Poi la divulgazione ha iniziato a sfaldarsi. I dettagli sono circolati online prima del rilascio pianificato della patch; un video che mostrava involontariamente un exploit ha aumentato la pressione. Quando sono arrivati gli aggiornamenti della PHP Foundation, Cloudflare aveva registrato migliaia di tentativi di exploit prima della divulgazione pubblica, poi decine di migliaia entro 45 minuti e milioni in seguito.³

Governi e imprese hanno risposto mettendo servizi offline durante l'applicazione delle patch. La Gran Bretagna ha disattivato per precauzione 32 servizi governativi; siti pubblici finlandesi hanno sospeso le attività di routine; portali olandesi per l'identità digitale e le segnalazioni sono andati offline. Per le grandi istituzioni, un gestore di una piccola impresa ha definito l'interruzione un «piccolo ostacolo»; per le aziende più piccole, i disservizi si sono protratti fino a sette ore.³ Sono rapidamente comparsi strumenti e servizi per aiutare gli amministratori a valutare l'esposizione, compresa un'offerta di crediti per controlli sulle vulnerabilità PHP da parte di Aravind Srinivas di Perplexity.Aravind Srinivas (AravSrinivas)⁴

La catastrofe immediata, tuttavia, non si è pienamente materializzata. Valutazioni successive hanno rilevato che, nonostante milioni di tentativi, i bug di PHP erano insolitamente difficili da sfruttare con successo.⁵ Ciò ha offerto un margine di respiro, non il via libera. Come ha affermato Samantha Lewis, responsabile dell'intelligence sulle minacce, la prossima crisi «potrebbe arrivare tra tre ore».⁵