Тревога началась в августе, когда исследователи в сфере безопасности использовали передовые инструменты ИИ для изучения старой веб-инфраструктуры. В Wiz ИИ-агенту не удалось адаптировать уязвимость WordPress для Drupal — но вместо этого он выявил отдельный изъян PHP. Исследователь Саги Цадик поначалу предположил, что модель ошибается: «Модели склонны к галлюцинациям». Тем не менее эксплойт сработал, выявив слабость, которая оставалась незамеченной более десяти лет.¹

Это открытие сопровождалось важной оговоркой на фоне заявлений о прорыве, достигнутом исключительно благодаря ИИ: исследователям-людям из Wiz и Calif всё ещё пришлось проверить, понять и ответственно сообщить об ошибках. Затем группа примерно из 15 человек работала в конкурирующих компаниях и проекте PHP, чтобы отследить изъяны и подготовить исправление — усилия, которые Томэр Шварц из Wiz описал как «основанные исключительно на доверии».¹

Скоординированный процесс начал давать сбои до запланированного релиза. Подробности распространились в интернете, а генеральный директор Chainguard Дэн Лоренц досрочно опубликовал информацию, заявив, что, по его мнению, уязвимость уже эксплуатировалась; PHP Foundation заявила, что этот шаг нарушил эмбарго и проигнорировал недели координации.²

К среде и четвергу последствия стали заметны от Хельсинки до Нью-Йорка. Власти и компании временно отключали сервисы, устанавливая патч PHP Foundation. Cloudflare сообщила, что зафиксировала тысячи попыток эксплуатации до публичного раскрытия, затем десятки тысяч в течение 45 минут, сотни тысяч за два часа и в конечном итоге миллионы.³

Для защитников этот эпизод стал одновременно и едва не случившейся катастрофой, и новой операционной реальностью. Один эксперт по кибербезопасности предупредил, что ИИ может позволить даже малоквалифицированным злоумышленникам эксплуатировать критические ошибки за считаные минуты, делая традиционную последовательность оценки подверженности риску, назначения мер по устранению и установки патчей «сломанной».⁴ Практический ответ остаётся определённо негламурным: выявить системы, зависящие от PHP, просканировать их и немедленно обновить — а не считать, что каждый уязвимый сайт необходимо отключить.

Компании в сфере ИИ и разработчики инструментов уже превращают тревогу в защитную автоматизацию. Аравинд Шринивас заявил, что его компания предлагает кредиты на проверки уязвимостей PHP, включая инструмент, предназначенный для приоритизации исправлений.Aravind Srinivas (AravSrinivas)⁵ Но ключевое противоречие сохраняется: ИИ может быстрее находить уязвимости для хороших парней, одновременно гарантируя, что, как только секрет становится известен, плохие парни могут действовать столь же быстро.