Кризис начался в августе, когда независимые исследовательские группы из Wiz и Calif, работавшие с передовыми моделями ИИ, обнаружили связанные уязвимости, скрывавшиеся в основном коде PHP более десяти лет. Ошибки могли предоставить постороннему контроль над непатченным веб-сервером на уровне команд — серьезная перспектива для языка, который, по оценкам, лежит в основе около 70% веба.¹

Для исследователей это стало доказательством того, что ИИ способен усилить оборонительную сторону. Исследователь Wiz Саги Цадик заявил, что агенты могут сократить «месяцы традиционных исследований» до дней или даже часов, хотя людям все равно потребовались дни, чтобы понять и воспроизвести ошибку.¹ Затем сопровождающие PHP, конкурирующие фирмы в сфере безопасности и другие специалисты в течение нескольких недель работали над патчем в рамках скоординированного раскрытия.

На этой неделе упорядоченный процесс дал сбой. Детали начали распространяться до запланированного релиза, и PHP Foundation заявила, что Chainguard «в одностороннем порядке нарушила эмбарго», сорвав недели координации.² Генеральный директор Chainguard Дэн Лоренц сказал, что действовал, поскольку считал, что эксплуатация уже началась; другие оспорили эту оценку. Итогом стал кошмар, которого защитники надеялись избежать: публичные подсказки, неполные исправления и быстро растущий список целей.

Cloudflare зафиксировала тысячи попыток эксплуатации до объявления, затем десятки тысяч в течение 45 минут, сотни тысяч за два часа и в конечном счете миллионы. Правительства и компании от Европы до Азии отключали сервисы, устанавливая обновления.³ Для главы кибербезопасности Нидерландов Маттейса ван Амелсфорта немедленное предписание было предельно простым: «патчить, патчить и патчить».²

Чиновники подчеркнули, что попытки не являются подтвержденными взломами и обычным посетителям не нужно обновлять свои телефоны только ради просмотра PHP-сайта. Неотложный риск касается операторов сайтов: непатченный сервер может раскрыть данные, быть изменен или стать плацдармом для атак в других местах.⁴

Реакция уже превращается в продукт. Аравинд Шринивас сообщил, что предлагаются кредиты Computer для проверки сайтов на подверженность риску из-за PHP, — пример того, как ИИ применяется не только для обнаружения, но и для устранения последствий.Aravind Srinivas (AravSrinivas)⁵ Однако более глубокое предупреждение сохраняется: OpenAI ожидает резкого роста числа подобных находок, тогда как разработчик патчей PHP Ондржей Сурый назвал это «катастрофой, которая давно ждала своего часа».⁶