В августе исследователи из Calif, работавшие совместно с OpenAI, а также Google’s Wiz независимо друг от друга использовали передовые ИИ-системы, чтобы выявить связанные уязвимости в PHP — веб-языке, который, по оценкам, лежит в основе примерно 70% сайтов. В Wiz ИИ-агент обнаружил слабое место PHP, проверяя, может ли проблема WordPress затронуть Drupal, — ошибка, которая на первый взгляд казалась мнимой, но оказалась реальной. «Модели склонны к галлюцинациям», — сказал исследователь Sagi Tzadik, однако эта модель обнаружила ошибку, просуществовавшую более десяти лет.¹

Команды сообщили о дефектах и вместе с сопровождающими PHP приступили к скоординированной работе над исправлением. Это сотрудничество было необычайно тесным: около 15 исследователей из конкурирующих организаций почти ежедневно обменивались результатами, рассказал Tomer Schwartz из Wiz, в процессе, «основанном исключительно на доверии».¹ Их достижение также несло собственное предупреждение: ИИ может сократить месяцы исследований уязвимостей до дней или даже часов, давая злоумышленникам такое же ускорение, как только подробности становятся публичными.

Это давление возникло до запланированного релиза. Сведения об уязвимостях распространились в интернете, вынудив сопровождающих PHP выпустить патч раньше срока. Видео Calif, непреднамеренно демонстрировавшее эксплуатацию уязвимости, затем способствовало активности подражателей. Cloudflare зафиксировала тысячи попыток эксплуатации до раскрытия информации; в течение 45 минут их число достигло десятков тысяч, затем в течение двух часов — сотен тысяч, а в конечном счёте — миллионов.²

К среде и четвергу власти и компании от Хельсинки до Нью-Йорка отключали сервисы на время установки обновлений. Великобритания сообщила, что в качестве меры предосторожности были закрыты 32 государственные службы, тогда как в Финляндии сбои затронули повседневные дела. «Можно сказать, что значительная часть самой ткани была разорвана», — сказал хельсинкский разработчик Kalle Pusa, говоря о зависимости от онлайн-госуслуг.³

Оборонительная реакция быстро приобрела коммерческий и практический характер: генеральный директор Perplexity Aravind Srinivas заявил, что его компания предлагает кредиты за проверки, выявляющие уязвимые PHP-сайты и помогающие расставлять приоритеты при исправлении.Aravind Srinivas (AravSrinivas)⁴ Однако специалисты по безопасности утверждают, что одного исправления недостаточно, чтобы не отстать от темпа. Один эксперт предупредил, что ИИ позволяет даже низкоквалифицированным злоумышленникам эксплуатировать серьёзные уязвимости «за считаные минуты», разрушая традиционный цикл устранения проблем.⁵

Разрыв наиболее заметен для небольших организаций. Бывший американский чиновник в сфере кибербезопасности Chris Krebs призвал компании непрерывно проводить сканирование, быстро устанавливать исправления или отключать устаревшие системы; у крупных фирм могут быть передовые инструменты, но малому бизнесу бывает трудно отреагировать.⁶ PHP2Shell удалось сдержать до катастрофы — но теперь легче представить следующую гонку.