Предупреждающие признаки накапливались с тех пор, как передовые ИИ-системы начали вызывать опасения, что поиск уязвимостей ускорится. Но изъяны PHP — обнаруженные исследователями-людьми в рамках работы с использованием ИИ, а не моделями, действующими самостоятельно, — сделали эту перспективу осязаемой. По оценкам, PHP лежит в основе 70% веб-сайтов, а значит, обнаруженная слабость многолетней давности имела огромный охват.¹

К среде обычная схема скоординированного раскрытия информации начала рушиться. Исследователи и поставщики подготовили патчи и конфиденциальные уведомления, однако сведения об ошибках распространились до запланированного выпуска. PHP Foundation заявила, что Chainguard «в одностороннем порядке нарушила эмбарго», что побудило государственные органы и компании отключать сайты, а не рисковать взломом.²

Эта спешка сделала угрозу ИИ реальной, но пока не привела к худшему сценарию. Cloudflare зафиксировала, что число попыток атак выросло с тысяч до раскрытия информации до миллионов после него, тогда как Amazon заявила о широком распространении эксплуатации. Однако немецкие чиновники сообщили об отсутствии успешного использования уязвимости, а исследователи выяснили, что превратить ошибки в рабочий инструмент атаки сложнее, чем предполагал объём сканирований.²

Это вызвало сравнения с проблемой Y2K: пугающим предупреждением, которое вовремя мобилизовало защитников. Эксперты по безопасности предостерегают от того, чтобы принимать этот узкий уход от опасности за безопасность. «Нам не нужно ждать ещё два года, прежде чем это произойдёт (снова)», — сказала руководитель отдела анализа угроз Armadin Саманта Льюис. «Это может случиться через три часа».³

Более глубокий спор касается того, что этот эпизод говорит о способности веба реагировать. Согласно одной точке зрения, система держится на «клее и мечтах», а небольшие операторы и государственные структуры не располагают ресурсами Amazon или Cloudflare.¹ Другая точка зрения видит доказательство того, что базовая дисциплина — установка патчей, многофакторная аутентификация, сдерживание и планы восстановления — по-прежнему работает. Но Томeр Шварц из Wiz утверждает, что будущее не может зависеть от того, что отдельные администраторы вручную применяют исправления: ИИ может помогать быстро находить и тестировать уязвимости, тогда как «ручная установка патчей не масштабируется».⁴