Durant els darrers dos mesos, hem liderat una coalició de responsables de manteniment, investigadors i proveïdors de seguretat per resoldre vulnerabilitats crítiques de PHP, un llenguatge de programació de codi obert que s'utilitza per executar llocs web i aplicacions web. Calif va detectar una fallada crítica amb GPT‑5.6 Sol en el marc de la nostra iniciativa Patch the Planet(s'obre en una finestra nova). Wiz també va descobrir i notificar totes dues vulnerabilitats de manera independent. Els responsables de manteniment de PHP van liderar les correccions i la publicació, amb recerca, suport tècnic i coordinació dels nostres equips i de socis com Wiz, Cloudflare i d'altres per preparar proteccions abans de la divulgació.
Per a les organitzacions que utilitzen PHP, la prioritat ara és aplicar les correccions. Compartim un comprovador de versions de PHP com a habilitat del Codex(s'obre en una finestra nova) per ajudar els operadors a identificar versions de PHP potencialment vulnerables i, seguint també les orientacions de PHP i dels seus proveïdors, determinar quines actualitzacions cal aplicar.
Atesa la gravetat d'aquestes fallades i l'ús generalitzat de PHP, el considerem un dels problemes de seguretat de més impacte dels darrers anys. Això mostra com la IA pot descobrir fallades de seguretat amb impacte a escala d'internet, però aquestes mateixes capacitats també poden ajudar els atacants a desenvolupar ràpidament eines ofensives i explotadors.
Que sapiguem, la IA d'avantguarda va trobar aquestes vulnerabilitats abans que els atacants, cosa que va obrir una finestra d'oportunitat per als defensors perquè els responsables de manteniment i els proveïdors de seguretat preparessin correccions i proteccions abans de la divulgació.
Per ajudar més defensors a utilitzar aquestes capacitats, hem compromès 1.000 milions de dòlars en accés subvencionat a Daybreak a través de Daybreak per als defensors de primera línia, adreçat a organitzacions que protegeixen serveis essencials amb recursos de seguretat limitats.
Tot i la seva gravetat, aquests errors són només algunes de les vulnerabilitats importants que ja hem trobat i que treballem per corregir. Preveiem que les troballes similars augmentin de manera significativa els propers mesos. A partir de l'experiència acumulada, compartim una proposta adaptada a l'era de la IA per respondre a vulnerabilitats crítiques de programari d'ús generalitzat, i demanem a la comunitat de seguretat que ens ajudi a millorar aquest marc, el qual combina els nostres models, els coneixements de seguretat i els responsables de manteniment per convertir les troballes en protecció i crear una resposta que pugui créixer al ritme de les capacitats de la IA.
Posar en pràctica una correcció pot requerir adaptar-la a versions antigues, preparar mesures de mitigació amb els proveïdors i actualitzar sistemes de moltes organitzacions. Un procés repetible ajuda aquests equips a actuar amb rapidesa a mesura que es descobreixen més vulnerabilitats.
A través de Patch the Planet, vam aportar coneixements de seguretat i accés a models per donar suport a la resposta de PHP, i vam col·laborar amb els responsables de manteniment i els socis de recerca per provar correccions i preparar orientacions. També vam ajudar a coordinar les proteccions dels sistemes afectats amb els proveïdors d'infraestructures i vam implicar organismes governamentals de ciberseguretat perquè les orientacions arribessin a organitzacions crítiques. Això va reforçar la resposta liderada pels responsables de manteniment i va ajudar altres defensors a preparar-se.
En alguns casos, els investigadors poden treballar directament amb els responsables de manteniment del programari per investigar el problema i desenvolupar una correcció. Altres casos requereixen una resposta més àmplia perquè afecten molts productes o perquè els distribuïdors i proveïdors de serveis necessiten temps per preparar actualitzacions i proteccions. Aquest temps pot ser escàs si les capacitats d'avantguarda no superen gaire les que són àmpliament accessibles. En aquests casos, el marc proposat pot ajudar els responsables de manteniment a identificar qui hi ha de participar i a coordinar la feina. La resposta pot constar de cinc etapes:
Validar i corregir la vulnerabilitat en el projecte d'origen. El responsable de manteniment, els investigadors i els socis tècnics essencials confirmen la troballa, n'avaluen l'impacte i desenvolupen i proven una correcció. Aquest procés inclou proves adversàries amb models d'avantguarda per buscar maneres d'eludir el pedaç i variants relacionades de la vulnerabilitat.
Donar temps per actuar a les organitzacions afectades. Proposem un marc per valorar quines organitzacions necessiten informació anticipada per preparar proteccions, mentre que els responsables de manteniment decideixen a qui impliquen. Ajudem a establir contactes, a acordar l'intercanvi d'informació i a coordinar els equips. Un distribuïdor podria adaptar una correcció a una versió antiga; un proveïdor d'allotjament, provar una mitigació, i un proveïdor de seguretat, preparar mesures de detecció o prevenció, com ara regles de tallafoc d'aplicacions web (WAF).
Coordinar-se amb socis governamentals per ajudar a protegir sistemes crítics. Els organismes governamentals són essencials per coordinar una resposta més àmplia i fer arribar les orientacions de seguretat a les organitzacions responsables d'infraestructures crítiques i altres serveis essencials. En el cas de PHP, vam treballar amb els nostres socis per implicar-hi diversos òrgans del govern dels EUA, com ara la Força de Superintel·ligència de la Casa Blanca, l'Oficina del Director Nacional de Ciberseguretat (ONCD) i l'Agència de Ciberseguretat i Seguretat de les Infraestructures (CISA), així com socis internacionals per donar suport a aquest esforç.
Preparar actualitzacions per als productes afectats. A mesura que es consoliden la correcció, les orientacions i els plans de divulgació, els responsables de manteniment poden implicar més distribuïdors, proveïdors d'allotjament i serveis, equips de resposta i operadors per preparar actualitzacions i cobrir mancances de protecció.
Quan hi hagi un pedaç disponible, publicar orientacions i donar suport al desplegament. Les orientacions públiques ajuden a avaluar l'exposició, a trobar actualitzacions oficials o mitigacions provisionals i a comprovar que la correcció és activa. La resposta continua mentre els operadors despleguen les actualitzacions i indiquen en què necessiten ajuda.
El marc proposat té en compte el paper protector de cada organització, cosa que inclou la protecció dels seus sistemes i clients, el temps que necessita per actuar i la seva capacitat per gestionar informació sensible. Els mateixos criteris s'aplicarien a organitzacions comparables, i els responsables de manteniment decidirien a qui hi impliquen abans de la divulgació.
Cada participant rep la informació necessària per dur a terme la seva tasca de protecció, des de registres de xarxa amb indicadors de compromís fins a explotadors funcionals de prova de concepte, més sensibles. Fins i tot uns pocs detalls poden revelar una vulnerabilitat; per això, sospesem el risc de compartir-los i la protecció que permeten.
Els equips que seguissin aquest marc treballarien amb els responsables de manteniment per donar temps de preparació als defensors i revisarien el calendari si hi hagués explotació activa en entorns reals, una filtració, un pedaç públic revelador o més risc per als usuaris per l'estancament de les correccions.
El lloc web de Patch the Planet(s'obre en una finestra nova) recull divulgacions públiques i orientacions per ajudar els operadors a identificar sistemes afectats, trobar l'actualització adequada i verificar que el programari actualitzat funciona correctament. Per a PHP, remet al pedaç oficial i a les instruccions d'actualització dels responsables de manteniment, així com a la recerca tècnica dels nostres socis. Les orientacions també cobreixen mitigacions provisionals, quan cal implicar-hi un proveïdor o expert i les còpies de seguretat i la recuperació. Les proteccions provisionals poden reduir el risc, però n'explicitarem els límits i les contrapartides operatives.
Els operadors poden seguir les orientacions de la CISA sobre priorització i correcció(s'obre en una finestra nova) per valorar amb quina rapidesa cal actuar segons l'exposició, l'explotació i l'impacte potencial. Això pot requerir aplicar pedaços d'emergència, mitigar de manera immediata o programar una actualització, juntament amb un triatge forense quan calgui per determinar si els sistemes ja s'han vist compromesos. Cal revisar les prioritats quan canviïn les condicions, amb un camí clar cap a una solució duradora.
La coordinació global depèn de les persones que mantenen el programari. Molts projectes els gestionen equips petits que revisen informes de seguretat alhora que fan les tasques habituals de desenvolupament. Aquests equips necessiten ajuda per distingir els problemes nous dels duplicats, avaluar-ne l'impacte i provar correccions en les versions amb suport. Donem suport a aquesta feina amb finançament, accés a models potents i ajuda pràctica d'enginyeria.
Les capacitats avançades de la IA progressen a tot el sector, i preveiem que la IA tindrà un paper creixent a l'hora d'ajudar els defensors a trobar vulnerabilitats, a supervisar sistemes i a respondre a amenaces. Invertim en models, eines i aliances per ajudar els defensors a posar en pràctica aquestes capacitats.
Les nostres inversions inclouen subscripcions per a tots els responsables de manteniment a través del Codex per a OSS i el patrocini directe de projectes com la Fundació Rust(s'obre en una finestra nova) per donar suport als responsables de manteniment i a la feina tècnica. Cada projecte estableix les seves prioritats. Les proves i els fluxos de treball de seguretat reutilitzables poden reduir l'esforç necessari per gestionar troballes futures. Els projectes de codi obert poden presentar una sol·licitud a Patch the Planet(s'obre en una finestra nova) per rebre suport pràctic.
També calibrem classificadors de bloqueig addicionals per a Daybreak per ajudar a reduir el risc d'ús indegut. Això obliga a buscar equilibris difícils: les salvaguardes pensades per evitar abusos també poden bloquejar tasques de seguretat legítimes. Tant l'accés ampli a models potents com les proteccions eficaces contra l'ús indegut són essencials. Volem preservar les capacitats que els defensors necessiten per trobar i corregir vulnerabilitats, alhora que limitem els usos perjudicials. Continuarem ajustant aquest equilibri a mesura que avancin les capacitats i aprenguem de l'ús d'aquestes eines.
A mesura que els models esdevenen més capaços, les oportunitats van més enllà de trobar i corregir vulnerabilitats individuals. Volem ajudar els enginyers a crear programari més segur des del principi. Millorar un component molt utilitzat pot evitar errors o limitar-ne l'impacte en molts productes i serveis.
La IA pot ajudar els enginyers a entendre el codi existent, a preparar canvis i a desenvolupar proves, mentre els responsables de manteniment i els experts en seguretat verifiquen que aquests canvis preservin el comportament del qual depenen els usuaris. Hi veiem oportunitats en diversos àmbits:
Codi segur des del principi. Els models de programació poden ajudar els desenvolupadors a triar opcions predeterminades més segures, a utilitzar correctament les biblioteques de seguretat i a detectar patrons de risc mentre escriuen codi. Si es preveuen les vulnerabilitats durant el desenvolupament, els responsables de manteniment i els usuaris s'hauran d'enfrontar a menys correccions d'emergència.
Programari amb seguretat de memòria. Migrar components crítics a llenguatges amb seguretat de memòria pot eliminar categories habituals d'errors de memòria. La IA pot ajudar en les migracions, amb proves i revisions d'experts per comprovar el comportament i la compatibilitat.
Verificació formal. Les demostracions matemàtiques poden provar que els components crítics compleixen propietats de seguretat especificades sota unes hipòtesis establertes. Aplicar aquests mètodes a components molt utilitzats podria ajudar a descartar categories de vulnerabilitats en els serveis i les infraestructures crítiques que en depenen.
Aïllament més robust. Els sistemes necessiten protecció contra vulnerabilitats que encara no s'han trobat o corregit. Executar el programari que processa fitxers, imatges o contingut multimèdia no fiables en entorns aïllats amb restriccions estrictes pot limitar els danys si es veu compromès. La IA pot ajudar els enginyers a provar i reforçar tecnologies d'aïllament d'ús generalitzat, cosa que milloraria la protecció de moltes aplicacions.
Compartim el nostre enfocament perquè els responsables de manteniment, investigadors, equips de resposta, proveïdors i operadors ens ajudin a fer-lo viable. Volem entendre en quins casos ajudaria, en quins podria afegir retards o càrrega de treball i què hem passat per alt. Els exemples de divulgacions anteriors serien especialment útils.
Ens interessa especialment:
Terminis de divulgació. Quant de temps necessiten els responsables de manteniment, els operadors i els defensors per preparar i desplegar correccions fiables? Quines proves haurien de motivar una divulgació anticipada, sobretot quan es poden protegir alguns usuaris abans que d'altres?
Aplicació de pedaços d'emergència. En quins casos, si n'hi ha, haurien d'utilitzar els governs o altres operadors una vulnerabilitat per aplicar pedaços a sistemes propis o que estan autoritzats a gestionar després de perdre-hi l'accés administratiu? Quines salvaguardes caldria aplicar? Podem imaginar un escenari final amb exploració contínua de tot internet per detectar vulnerabilitats conegudes i, quan se'n detecti una, avisar els propietaris del lloc web o aplicar un pedaç al sistema.
Avís anticipat. Qui necessita un avís anticipat per prendre mesures de protecció útils, incloent-hi els defensors que podríem passar per alt? Quan funcionen millor les notificacions esglaonades que no pas avisar un grup més ampli alhora, i com hauríem de sospesar la cobertura i el risc de filtracions?
Paquets de programari segurs per defecte. Com podem ajudar a identificar i corregir vulnerabilitats en paquets derivats mentre estan pendents les correccions del projecte d'origen, o adaptar correccions a versions antigues que ja no reben actualitzacions de seguretat? Quines proves i quin manteniment farien d'aquests paquets opcions fiables quan no és viable actualitzar a temps?
També agraïm recomanacions d'experts independents en seguretat que puguin revisar l'enfocament, qüestionar-ne els supòsits i detectar-hi mancances. Les teves aportacions ens ajudaran a millorar la resposta i a prioritzar el suport. Comparteix els teus comentaris aquí(s'obre en una finestra nova).
