В августе отдельные команды Calif и принадлежащей Google компании Wiz использовали передовые инструменты ИИ для изучения PHP — веб-языка, который, по оценкам, лежит в основе примерно 70% сайтов. Они обнаружили две критические уязвимости, позже получившие название PHP2Shell, которые оставались скрытыми более десяти лет. Исследователь Wiz Саги Цадик сначала заподозрил ошибку ИИ: «Модели склонны к галлюцинациям». Но эксплойт сработал.¹

Это открытие стало редкой победой защитников. Исследователи в частном порядке координировали действия с PHP Foundation и крупными инфраструктурными компаниями, чтобы разработать исправления до публичного раскрытия информации. OpenAI назвала эти уязвимости «одной из самых значимых проблем безопасности за последнее время», предупредив при этом, что те же возможности ИИ могут быстро помочь злоумышленникам создавать инструменты для атак.²

Это преимущество начало таять в октябре. Amazon заявила, что обнаружила попытку эксплуатации 17 октября, за несколько дней до запланированного раскрытия, а сообщения и случайно опубликованное видео с демонстрацией концепции ускорили лихорадочную гонку. Когда новость распространилась, Cloudflare зафиксировала тысячи попыток до раскрытия, затем десятки тысяч в течение 45 минут, сотни тысяч в течение двух часов и в конечном итоге — миллионы.³

В среду PHP Foundation выпустила экстренные исправления. NSA и другие ведомства посоветовали организациям, не способным немедленно обновиться, отключить системы от сети. Так и поступили правительства от Финляндии и Нидерландов до Японии; Британия сообщила, что 32 государственные службы были временно недоступны. Для пользователей сбои были обыденными, но показательными: разработчик из Хельсинки Калле Пуса не смог организовать вывоз старого дивана, заявив, что цифровая инфраструктура, «вплетённая в ткань нашего общества», оказалась разорвана.⁴

Инцидент обострил раскол в мире кибербезопасности. Оптимисты утверждают, что ИИ выявил катастрофу до того, как она полностью развернулась; операторы устаревших систем без поддержки говорят, что скорость эксплуатации с помощью ИИ разрушила прежний цикл «установить исправления и спланировать действия». По мере появления коммерческих инструментов Аравинд Шринивас продвигал бесплатные кредиты для ИИ-сервиса, который проверяет PHP-сайты и конфигурации развёртывания на подверженность угрозе.Aravind Srinivas (AravSrinivas)⁵

На данный момент исправления доступны, а в ранних оценках число подтверждённых компрометаций оставалось ограниченным. Но PHP2Shell ясно показал новую реальность: ИИ может первым обнаружить самые глубокие уязвимости интернета — не гарантируя при этом защитникам достаточно времени на их устранение.