В начале августа исследователь Wiz Саги Цадик попросил ИИ-агента проверить, может ли уязвимость WordPress также затрагивать Drupal. С этой задачей он не справился — но выявил отдельный изъян в PHP, существующем десятилетиями языке, лежащем в основе обеих платформ и значительной части веба. Сначала Цадик заподозрил ложное срабатывание: «Модели склонны к галлюцинациям». Тем не менее эксплойт сработал, выявив слабость, которая оставалась незамеченной более десяти лет.¹

Это открытие стало аргументом в пользу ИИ как инструмента защиты. Исследователи Calif, работавшие с OpenAI, независимо обнаружили связанную проблему; группы сообщили о своих находках и вместе с сопровождающими PHP присоединились к команде примерно из 15 человек, чтобы отследить ошибки и подготовить исправление. ИИ может анализировать код в масштабах, недоступных человеческим командам, однако те же возможности способны помочь злоумышленникам выявлять уязвимые системы и автоматизировать эксплуатацию — поэтому быстрое скоординированное раскрытие информации крайне важно.²

Гонка ускорилась, когда подробности начали распространяться в интернете за два дня до запланированного выпуска патча. Сопровождающие PHP перенесли релиз на более ранний срок, но видео Calif, непреднамеренно демонстрировавшее эксплойт, способствовало появлению подражателей. Cloudflare зафиксировала тысячи попыток до раскрытия информации, затем десятки тысяч за 45 минут, сотни тысяч за два часа и в конечном итоге миллионы.¹

К среде и четвергу патч уже вышел, но превентивные отключения начались раньше. Великобритания отключила 32 государственные службы; работа публичных сайтов в Финляндии, Нидерландах, Германии и Японии была нарушена, а компании и малые предприятия спешно обновлялись. Для организаций с большими ИТ-командами один владелец бизнеса назвал перебой «небольшой помехой»; для небольших фирм простои растянулись до семи часов. ИТ-специалист из Найроби опасался, что медленно реагирующие государственные системы всё ещё могут подвергнуться атаке.³

Ответные меры теперь не только координируются, но и коммерциализируются: Аравинд Шринивас заявил, что пользователи смогут получать кредиты для проверки PHP-сайтов и конфигураций развертывания на подверженность риску — это иллюстрирует, насколько быстро сканирование с помощью ИИ становится частью повседневной защиты.Aravind Srinivas (AravSrinivas)⁴

Урок не в том, что ИИ решил проблему. Он обнаружил её достаточно рано, чтобы защитники успели действовать, — и показал, как быстро это преимущество может исчезнуть.