В начале августа исследователь Wiz попросил ИИ-агента проверить, может ли слабость WordPress распространяться и на Drupal. Агент не справился с этой задачей — но вместо этого выявил давно скрытый изъян PHP. Поначалу к находке отнеслись скептически, поскольку «модели склонны к галлюцинациям», сказал исследователь Саги Цадик, однако затем эксплойт оказался реальным.¹

Это открытие не было единичным. Calif, работая с OpenAI, обнаружила связанную с ним уязвимость, и группы координировали действия с сопровождающими PHP, чтобы отследить ошибки и подготовить исправление. Для защитников это была редкая победа: ИИ сократил то, что Цадик назвал «месяцами традиционных исследований», до дней или часов.¹ Но то же ускорение усилило опасность. Один эксперт по кибербезопасности предупредил, что ИИ сломал прежний цикл реагирования, позволив даже низкоквалифицированным злоумышленникам использовать серьёзные уязвимости за считаные минуты.²

Затем процесс раскрытия информации начал давать сбои. Подробности распространились в интернете до запланированного выпуска исправления; видео, непреднамеренно показавшее эксплойт, усилило давление. К моменту выхода обновлений PHP Foundation Cloudflare зафиксировала тысячи попыток эксплуатации до публичного раскрытия, затем десятки тысяч в течение 45 минут и миллионы после этого.³

Правительства и компании отреагировали, отключая сервисы на время установки исправлений. Великобритания в качестве меры предосторожности отключила 32 государственных сервиса; финские государственные сайты приостановили обычные задачи; нидерландские порталы цифровой идентификации и отчётности стали недоступны. Для крупных учреждений, как выразился один владелец малого бизнеса, перебои были «небольшой помехой»; для небольших компаний простои растянулись до семи часов.³ Быстро появились инструменты и сервисы, помогающие администраторам оценить степень риска, включая предложение кредитов на проверку уязвимостей PHP от Аравинда Шриниваса из Perplexity.Aravind Srinivas (AravSrinivas)⁴

Однако немедленной катастрофы в полной мере не произошло. Последующие оценки показали, что, несмотря на миллионы попыток, ошибки PHP было необычайно трудно успешно эксплуатировать.⁵ Это дало передышку, но не повод расслабляться. Как выразилась руководитель отдела анализа угроз Саманта Льюис, следующий кризис «может наступить через три часа».⁵