O colapso do PHP mostra como a IA torna os bugs mais exploráveis

Bem-vindo ao Pânico do núcleo, um boletim informativo semanal de Lily Hay Newman e Matt Burgess sobre o novo mundo da privacidade e segurança digital. Para receber esta newsletter em sua caixa de entrada todas as semanas, inscreva-se aqui.

Enquanto as equipes de segurança e administradores da web lutavam esta semana para corrigir novos bugs públicos de PHP, hackers criminosos rapidamente tentaram explorar as falhas à solta. Milhões de tentativas de exploração ocorreram poucas horas após a publicação das vulnerabilidades, de acordo com a análise da Cloudflare – o que não é surpreendente, dado o amplo acesso a ferramentas de IA que podem tornar mais fácil para os invasores explorarem rapidamente as falhas.

Até agora, o cenário de pesadelo de aquisições e violações em massa de vítimas não se concretizou. A PHP Foundation diz que não viu nenhuma exploração bem-sucedida dos bugs, apelidados coletivamente de PHP2Shell, e muitas explorações potenciais que circulam publicamente parecem ser ineficazes. No entanto, talvez o papel mais interessante da IA ​​no meio do caos desta semana seja como os modelos avançados ajudaram os investigadores a descobrir explorações práticas para as vulnerabilidades, das quais eram conhecidas, pelo menos em parte, há anos. Por outras palavras, a IA ajudou a transformar a vulnerabilidade histórica numa crise atual.

Então, estamos todos prestes a ser atingidos por uma onda de vulnerabilidades críticas que já existem há décadas?

Pesquisadores da empresa de segurança Calif foram os primeiros a identificar as vulnerabilidades do PHP2Shell e criar explorações no início de agosto – usando parcialmente ferramentas de IA de ponta como parte do programa Patch the Planet da OpenAI, mas também usando conhecimento humano especializado em PHP, sua dinâmica e seus pontos fracos. Algumas das questões subjacentes foram identificadas em 2024, mas foram consideradas demasiado complexas para serem exploradas na altura. Após a descoberta da Califórnia, pesquisadores da OpenAI e da empresa de segurança Wiz, de propriedade do Google, descobriram independentemente falhas do PHP2Shell usando ferramentas de IA.

“A vulnerabilidade era conhecida pela equipe PHP há anos, mas como não poderia ser aproveitada por um invasor – pelo menos não por um humano – ela não foi abordada”, diz Sagi Tzadik, pesquisador de segurança da Wiz.

Nenhum software é perfeito. Existem inevitavelmente falhas até mesmo nas ferramentas digitais mais críticas e fundamentais, mas as capacidades crescentes dos modelos de IA tornaram mais rápida a análise e a potencial exploração de vulnerabilidades. Isso coloca ainda mais pressão sobre equipes de TI, desenvolvedores e administradores com poucos recursos para acompanhar. As atualizações de segurança da Microsoft incluíram um recorde de 1.453 vulnerabilidades de segurança somente neste mês. Enquanto isso, o Bank of America contratou recentemente 1.000 consultores para corrigir falhas descobertas pelo Mythos da Anthropic. Os investigadores de segurança sublinham, no entanto, que a IA, em última análise, não está a fazer nada de novo, mas sim a ampliar a dinâmica existente de descoberta de vulnerabilidades e divulgação coordenada.