През последните два месеца ръководихме коалиция от екипи по поддръжка, изследователи и доставчици на решения за сигурност за отстраняване на критични уязвимости в PHP — език за програмиране с отворен код, използван за уебсайтове и уеб приложения. Calif откри критичен пропуск с GPT‑5.6 Sol в рамките на инициативата ни Patch the Planet(отваря се в нов прозорец), а Wiz независимо откри и докладва и двете уязвимости. Екипът по поддръжката на PHP ръководеше разработването и публикуването на корекциите. Нашите екипи и партньори като Wiz, Cloudflare и други допринесоха с изследвания, техническа помощ и координация за подготовка на защитни мерки преди оповестяването.
За организациите, използващи PHP, приоритетът сега е прилагането на корекциите. Споделяме инструмент за проверка на версията на PHP като умение за Codex(отваря се в нов прозорец) в помощ на операторите при откриването на потенциално уязвими версии на PHP и определянето на нужните актуализации съобразно указанията на PHP и техните доставчици.
Предвид сериозността на тези пропуски и широкото използване на PHP, смятаме това за един от най-значимите проблеми със сигурността през последните години. Той показва как ИИ може да открива пропуски в сигурността с последици за целия интернет, но същите способности могат да помагат и на нападателите бързо да разработват инструменти за атаки и експлойти.
Доколкото ни е известно, авангарден ИИ откри тези уязвимости преди нападателите, отваряйки времеви прозорец за защитниците, в който екипите по поддръжка и доставчиците на решения за сигурност да подготвят корекции и защити преди оповестяването.
За да могат повече защитници да използват тези способности, поехме ангажимент за 1 милиард долара субсидиран достъп до Daybreak чрез Daybreak за защитниците на първа линия, насочен към организации с ограничени ресурси за сигурност, които защитават основни услуги.
Колкото и да са сериозни, тези дефекти са само част от значимите уязвимости, които вече сме открили и работим да отстраним. Очакваме подобни открития да нараснат рязко през следващите месеци. Въз основа на досегашния си опит предлагаме подход за реагиране при критични уязвимости в широко използван софтуер, съобразен с ерата на ИИ, и приканваме общността по сигурността да помогне за подобряването на тази рамка. Тя обединява нашите модели, експертния ни опит в сигурността и екипите по поддръжка, за да превръща откритията в защита и да изгражда реакция, чийто мащаб да расте с напредъка на ИИ.
Внедряването на корекция може да изисква адаптирането ѝ за по-стари версии, подготовка на мерки за ограничаване на риска от доставчиците и актуализиране на системи в множество организации. Повторяемият процес помага на тези екипи да действат бързо при откриването на нови уязвимости.
Чрез Patch the Planet предоставихме експертна помощ по сигурността и достъп до модели в подкрепа на реакцията за PHP. С екипите по поддръжка и изследователските ни партньори тествахме корекции и подготвяхме указания. Помогнахме и за координацията с доставчици на инфраструктура относно защитата на засегнатите системи и привлякохме държавни агенции по киберсигурност, за да достигнат указанията до организации с критично значение. Това подкрепи реакцията, ръководена от екипа по поддръжка, и помогна на други защитници да се подготвят.
При някои открития изследователите могат да работят пряко с екипа по поддръжка на софтуера, за да проучат проблема и да разработят корекция. Други изискват по-широка реакция, защото засягат много продукти или защото дистрибуторите и доставчиците на услуги се нуждаят от време за подготовка на актуализации и защити. Това време може да е малко, ако авангардните способности не изпреварват значително общодостъпните. В тези случаи предложената рамка може да помогне на екипите по поддръжка да определят кого да включат и да координират работата. Реакцията може да включва пет етапа:
Потвърждаване и отстраняване на уязвимостта в изходния проект. Екипът по поддръжка, изследователите и ключовите технически партньори потвърждават откритието, оценяват въздействието му и разработват и тестват корекция. Процесът включва тестове със симулирани атаки с авангардни модели, за да се търсят начини за заобикаляне на корекцията и сродни варианти на уязвимостта.
Осигуряване на време за действие на засегнатите организации. Предлагаме рамка за преценка кои организации се нуждаят от предварителна информация, за да подготвят защити, като екипите по поддръжка решават кого да включат. Помагаме с установяването на контакти, споразуменията за обмен на информация и координацията между екипите. Дистрибутор може да адаптира корекция за по-стара версия, хостинг доставчик — да тества мярка за ограничаване на риска, а доставчик на решения за сигурност — да подготви мерки за откриване или предотвратяване, включително правила за защитна стена за уеб приложения (WAF).
Координация с държавни партньори за защита на критични системи. Държавните агенции имат ключова роля в координирането на по-широка реакция и в предаването на указания за сигурност на организациите, отговорни за критична инфраструктура и други основни услуги. В случая с PHP, заедно с партньорите ни, работихме за привличането на различни структури на американското правителство, включително звеното за суперинтелект към Белия дом, Службата на националния директор по киберсигурност (ONCD) и Агенцията за киберсигурност и сигурност на инфраструктурата (CISA), както и на международни партньори в подкрепа на тези усилия.
Подготовка на актуализации за засегнатите продукти. Когато корекцията, указанията и плановете за оповестяване се изяснят, екипите по поддръжка могат да включат още дистрибутори, хостинг доставчици и доставчици на услуги, екипи за реагиране и оператори, за да подготвят актуализации и да запълнят пропуските в покритието.
Публикуване на указания и подпомагане на внедряването, щом корекцията е готова. Публичните указания помагат на хората да оценят риска за себе си, да намерят официални актуализации или временни мерки и да проверят дали корекцията е приложена. Реакцията продължава, докато операторите внедряват актуализации и съобщават къде се нуждаят от помощ.
Предложената рамка отчита защитната роля на организацията, включително защитата на собствените ѝ системи и клиенти, необходимото време за действие и способността ѝ да борави с чувствителна информация. За сравними организации биха важали едни и същи критерии, като екипите по поддръжка решават кого да включат преди оповестяването.
Всеки участник получава нужната за защитната си работа информация — от мрежови журнали с индикатори за компрометиране до по-чувствителни работещи експлойти, демонстриращи уязвимостта. Дори оскъдни подробности могат да разкрият уязвимост, затова съпоставяме риска от споделянето им със защитата, която позволяват.
Екипите, следващи тази рамка, биха работили с екипите по поддръжка, за да дадат на защитниците време за подготовка и да преразгледат графика при активно използване на уязвимостта в реални атаки, изтичане на информация, публична корекция, която я разкрива, или повишен риск за потребителите поради забавено отстраняване.
Сайтът на Patch the Planet(отваря се в нов прозорец) събира публични оповестявания и указания, за да помогне на операторите да открият засегнатите системи, да намерят подходящата актуализация и да проверят дали актуализираният софтуер работи правилно. За PHP той препраща към официалната корекция и инструкциите за надграждане от екипа по поддръжка и към техническите изследвания на партньорите ни. Указанията обхващат и временни мерки за ограничаване на риска, кога да се потърси доставчик или експерт, както и архивиране и възстановяване. Временните защити могат да намалят риска, но ще посочваме ясно ограниченията им и компромисите при експлоатация.
Операторите могат да използват указанията на CISA за приоритизиране и отстраняване на уязвимости(отваря се в нов прозорец), за да преценят колко бързо да действат според изложеността на риск, използването на уязвимостта и потенциалното въздействие. Това може да означава спешно прилагане на корекции, незабавно ограничаване на риска или планирана актуализация, съчетани при нужда с първоначален цифрово-криминалистичен анализ, за да се установи дали системите вече са компрометирани. Приоритетите трябва да се преразглеждат при промяна на условията, с ясен път към трайно отстраняване на проблема.
Глобалната координация зависи от хората, които поддържат софтуера. Много проекти се управляват от малки екипи, които разглеждат доклади за сигурността наред с обичайната развойна работа. Тези екипи се нуждаят от помощ, за да разграничават новите проблеми от дублиращите се сигнали, да оценяват въздействието и да тестват корекции във всички поддържани версии. Подкрепяме тази работа с финансиране, достъп до мощни модели и практическа инженерна помощ.
Мощните способности на ИИ се развиват в цялата индустрия и очакваме ИИ да играе все по-голяма роля в подпомагането на защитниците да откриват уязвимости, да наблюдават системи и да реагират на заплахи. Инвестираме в модели, инструменти и партньорства, за да помогнем на защитниците да използват тези способности на практика.
Инвестициите ни включват абонаменти за всички, които поддържат проекти, чрез Codex за OSS и пряко спонсориране на проекти като Rust Foundation(отваря се в нов прозорец) в подкрепа на екипите по поддръжка и техническата работа. Всеки проект определя собствените си приоритети. Тестовете и работните процеси за сигурност, които могат да се използват многократно, намаляват усилията за справяне с бъдещи открития. Проектите с отворен код могат да кандидатстват в Patch the Planet(отваря се в нов прозорец) за практическа подкрепа.
Калибрираме и допълнителни класификатори за блокиране в Daybreak, за да намалим възможностите за злоупотреба. Това изисква трудни компромиси: защитните мерки срещу злоупотреби могат да блокират и легитимна работа по сигурността. Както широкият достъп до мощни модели, така и ефективната защита срещу злоупотреби са от решаващо значение. Целта ни е да запазим способностите, нужни на защитниците за откриване и отстраняване на уязвимости, като същевременно ограничаваме вредната употреба. Ще продължим да усъвършенстваме този баланс с развитието на способностите и с натрупването на опит от използването на тези инструменти.
С нарастването на способностите на моделите възможностите надхвърлят откриването и отстраняването на отделни уязвимости. Искаме да помогнем на инженерите да създават по-сигурен софтуер от самото начало. Подобренията в широко използван компонент могат да предотвратят дефекти или да ограничат въздействието им в множество продукти и услуги.
ИИ може да помага на инженерите да разбират съществуващ код, да подготвят промени и да разработват тестове, а екипите по поддръжка и експертите по сигурност да проверяват дали промените запазват поведението, на което потребителите разчитат. Виждаме възможности в няколко области:
Сигурен код от самото начало. Моделите за програмиране могат да помагат на разработчиците да избират по-безопасни настройки по подразбиране, да използват правилно библиотеки за сигурност и да откриват рискови шаблони още при писането на кода. Предотвратяването на уязвимости по време на разработката означава по-малко спешни корекции за екипите по поддръжка и потребителите.
Софтуер с безопасно управление на паметта. Прехвърлянето на критични компоненти към езици с безопасно управление на паметта може да премахне често срещани класове грешки при работа с паметта. ИИ може да подпомага миграциите, като тестове и експертен преглед проверяват поведението и съвместимостта.
Формална верификация. Математическите доказателства могат да покажат, че критичните компоненти удовлетворяват определени свойства за сигурност при зададени допускания. Прилагането на тези методи към широко използвани компоненти може да помогне за изключване на цели класове уязвимости в услугите и критичната инфраструктура, които зависят от тях.
По-силна изолация. Системите се нуждаят от защита срещу уязвимости, които все още не са открити или отстранени. Изпълнението на софтуер, който обработва недоверени файлове, изображения или мултимедия, в строго ограничени изолирани среди може да намали щетите, ако бъде компрометиран. ИИ може да помага на инженерите да тестват и укрепват широко използвани технологии за изолирано изпълнение, подобрявайки защитата на много приложения.
Споделяме подхода си, за да могат екипи по поддръжка, изследователи, екипи за реагиране, доставчици и оператори да помогнат той да работи на практика. Искаме да разберем къде би помогнал, къде би създал забавяне или допълнителна тежест и какво сме пропуснали. Примери от минали оповестявания биха били особено полезни.
Особено ни интересуват:
Срокове за оповестяване. Колко време е нужно на екипите по поддръжка, операторите и защитниците, за да подготвят и внедрят надеждни корекции? Какви данни трябва да водят до по-ранно оповестяване, особено когато някои потребители могат да бъдат защитени по-рано от други?
Спешно прилагане на корекции. Кога, ако изобщо е допустимо, правителства или други оператори трябва да използват уязвимост, за да приложат корекции в системи, които притежават или са упълномощени да управляват, след като са загубили административния достъп? Какви предпазни мерки трябва да се прилагат? Можем да си представим краен етап в бъдещето, когато се извършва непрекъснато сканиране за известни уязвимости в рамките на целия интернет и при откриването им или собствениците на сайтове биват уведомявани, или системата директно получава корекция.
Предварително уведомяване. Кой се нуждае от предварително предупреждение, за да предприеме полезни защитни действия, включително защитници, които може да пропускаме? Кога поетапното уведомяване работи по-добре от едновременното уведомяване на по-широка група и как да съпоставяме обхвата с риска от изтичане на информация?
Софтуерни пакети, сигурни по подразбиране. Как да помогнем за откриването и отстраняването на уязвимости в производни пакети, докато се чакат корекции в изходния проект, или за пренасянето на корекции към по-стари версии, които вече не получават актуализации за сигурност? Какви тестове и поддръжка биха направили тези пакети надежден избор, когато навременното надграждане е невъзможно?
Приветстваме и препоръки за независими експерти по сигурността, които да прегледат подхода, да оспорят допусканията му и да открият пропуски. Вашият принос ще ни помогне да усъвършенстваме реакцията и да определим приоритетите за подкрепа. Споделете мнението си тук(отваря се в нов прозорец).
