Patch the Planet: koordinace globální reakce na kritické zranitelnosti odhalené agenty

V posledních dvou měsících jsme vedli koalici správců projektů, výzkumníků a poskytovatelů bezpečnostních řešení při řešení kritických zranitelností v PHP, open-source programovacím jazyce, který se používá k provozu webů a webových aplikací. Společnost Calif odhalila kritickou chybu pomocí GPT‑5.6 Sol v rámci naší iniciativy Patch the Planet⁠(otevře se v novém okně). Obě zranitelnosti nezávisle objevila a nahlásila také společnost Wiz. Správci PHP řídili přípravu a vydání oprav. Naše týmy a partneři jako Wiz, Cloudflare a další přispěli výzkumem, technickou podporou a koordinací, aby byla ochranná opatření připravena ještě před zveřejněním zranitelností.

Pro organizace používající PHP je nyní prioritou nasadit opravy. Zpřístupňujeme nástroj pro kontrolu verze PHP jako skill pro Codex⁠(otevře se v novém okně) na pomoc provozovatelům při zjišťování potenciálně zranitelných verzí PHP a určování potřebných aktualizací s využitím pokynů od správců PHP a příslušných poskytovatelů.

Vzhledem k závažnosti těchto chyb a rozšířenosti PHP to považujeme za jeden z nejzávažnějších bezpečnostních problémů posledních let. Ukazuje to, jak může AI odhalovat bezpečnostní chyby s dopadem na celý internet. Tytéž schopnosti ale mohou také pomoci útočníkům rychle vyvíjet útočné nástroje a exploity.

Pokud víme, průkopnická AI našla tyto zranitelnosti dříve než útočníci. Otevřela tak časové okno pro obránce, během kterého mohli správci a poskytovatelé bezpečnostních řešení připravit opravy a ochranná opatření ještě před zveřejněním.

Aby tyto schopnosti mohlo využívat více obránců, zavázali jsme se poskytnout dotovaný přístup k Daybreaku v hodnotě 1 miliardy dolarů prostřednictvím programu Daybreak pro obránce v první linii. Ten je zaměřený na organizace, které chrání základní služby, ale mají omezené zdroje na zabezpečení.

Jakkoli jsou tyto chyby závažné, patří k několika významným zranitelnostem, které jsme již našli a na jejichž opravách pracujeme. Očekáváme, že podobných nálezů bude v příštích měsících prudce přibývat. Na základě dosavadních zkušeností předkládáme návrh postupu pro reakci na kritické zranitelnosti v široce používaném softwaru, který odpovídá éře AI, a žádáme bezpečnostní komunitu o pomoc s jeho zdokonalením. Propojuje naše modely, bezpečnostní odbornost a správce projektů, aby se nálezy promítly do skutečné ochrany a vznikl postup, který lze škálovat ruku v ruce s rozvojem schopností AI.

Oprava může vyžadovat její adaptaci pro starší verze, přípravu zmírňujících opatření u poskytovatelů a aktualizaci systémů v mnoha organizacích. Opakovatelný postup pomůže těmto týmům rychle jednat, až budou objeveny další zranitelnosti.

V rámci iniciativy Patch the Planet jsme reakci na zranitelnosti PHP podpořili bezpečnostními znalostmi a přístupem k modelům. Se správci a výzkumnými partnery jsme spolupracovali na testování oprav a přípravě pokynů. Pomáhali jsme také koordinovat ochranu dotčených systémů s poskytovateli infrastruktury a zapojili jsme vládní úřady pro kybernetickou bezpečnost, aby se pokyny dostaly k organizacím zásadního významu. Tím jsme podpořili reakci vedenou správci a pomohli ostatním obráncům s přípravou.

U některých nálezů mohou výzkumníci spolupracovat přímo se správci softwaru na prozkoumání problému a vývoji opravy. Jiné vyžadují širší reakci, protože zasahují mnoho produktů nebo protože distributoři a poskytovatelé služeb potřebují čas na přípravu aktualizací a ochranných opatření. Toho může být málo, pokud průkopnické schopnosti nemají velký náskok před těmi běžně dostupnými. V takových případech může navrhovaný rámec pomoci správcům určit, koho je třeba zapojit, a koordinovat práci. Reakce může zahrnovat pět fází:

• Ověřit a opravit zranitelnost v původním projektu. Správce, výzkumníci a klíčoví techničtí partneři potvrdí nález, posoudí jeho dopad a vyvinou a otestují opravu. Součástí tohoto procesu je adversariální testování pomocí průkopnických modelů, které hledá způsoby, jak opravu obejít, a související varianty zranitelnosti.

• Dát dotčeným organizacím čas jednat. Navrhujeme rámec pro posouzení, které organizace potřebují informace předem, aby mohly připravit ochranná opatření. O tom, koho zapojit, rozhodují správci. Pomáháme s oslovováním organizací, dohodami o sdílení informací a koordinací mezi týmy. Distributor může adaptovat opravu pro starší verzi, poskytovatel hostingu otestovat zmírňující opatření a poskytovatel bezpečnostních řešení připravit opatření pro detekci či prevenci, včetně pravidel pro webový aplikační firewall (WAF).

• Koordinovat ochranu kritických systémů s partnery z veřejné správy. Orgány veřejné správy hrají zásadní roli při koordinaci širší reakce a při předávání bezpečnostních pokynů organizacím odpovědným za kritickou infrastrukturu a další základní služby. V případě PHP jsme společně s našimi partnery zapojili několik složek americké veřejné, včetně týmu Bílého domu pro superinteligenci (Super Intelligence Force), Úřadu národního ředitele pro kybernetickou bezpečnost (ONCD) a Agentury pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA), i mezinárodních partnerů, abychom toto úsilí podpořili.

• Připravit aktualizace pro dotčené produkty. Jakmile oprava, pokyny a plány zveřejnění získají ustálenou podobu, mohou správci zapojit další distributory, poskytovatele hostingu a služeb, týmy pro reakci na incidenty a provozovatele, aby připravili aktualizace a odstranili mezery v ochraně.

• Jakmile je oprava dostupná, zveřejnit pokyny a podpořit její nasazení. Veřejné pokyny pomáhají posoudit míru ohrožení, najít aktualizace z důvěryhodných zdrojů nebo dočasná zmírňující opatření a ověřit, že je oprava nasazená. Reakce pokračuje i během toho, kdy provozovatelé nasazují aktualizace a hlásí, kde potřebují pomoc.

Navrhovaný rámec zohledňuje roli organizace při zajišťování ochrany, včetně ochrany vlastních systémů a zákazníků, dobu potřebnou k zásahu a její schopnost zacházet s citlivými informacemi. Na srovnatelné organizace by se vztahovala stejná kritéria. O tom, koho zapojit před zveřejněním, by rozhodovali správci.

Každý účastník dostává informace potřebné k zajištění ochrany, od síťových protokolů s indikátory kompromitace až po citlivější funkční exploity prokazující zneužitelnost. Zranitelnost může prozradit i malé množství podrobností, proto poměřujeme riziko jejich sdílení ochranou, kterou umožňují.

Týmy postupující podle tohoto rámce by se správci spolupracovaly na tom, aby obránci měli čas se připravit. Harmonogram by přehodnotily při aktivním zneužívání v praxi, úniku informací, zveřejnění opravy odhalující zranitelnost nebo růstu rizika pro uživatele kvůli váznoucí nápravě.

Web Patch the Planet⁠(otevře se v novém okně) shromažďuje zveřejněné informace o zranitelnostech a pokyny, které provozovatelům pomáhají identifikovat dotčené systémy, najít správnou aktualizaci a ověřit, že aktualizovaný software funguje správně. V případě PHP odkazuje na oficiální opravu a pokyny k upgradu od správců i na technický výzkum našich partnerů. Pokyny se věnují také dočasným zmírňujícím opatřením, tomu, kdy zapojit poskytovatele či odborníka, a zálohování a obnově. Dočasná ochranná opatření mohou riziko snížit, ale jasně uvedeme jejich omezení i provozní kompromisy, které přinášejí.

Provozovatelé mohou využít pokyny CISA k určování priorit a nápravě⁠(otevře se v novém okně) a podle míry ohrožení, zneužívání a možného dopadu posoudit, jak rychle je třeba jednat. Může to znamenat nouzové nasazení opravy, okamžité zmírňující opatření nebo plánovanou aktualizaci. V odůvodněných případech je doplní prvotní forenzní analýza, která posoudí, zda již systémy nebyly napadeny. Při změně podmínek je třeba priority přehodnotit a zachovat jasný postup k trvalé nápravě.

Globální koordinace stojí na lidech, kteří software udržují. Mnoho projektů vedou malé týmy, které vedle běžného vývoje prověřují i bezpečnostní hlášení. Tyto týmy potřebují pomoc s rozlišováním nových problémů od duplicitních hlášení, posuzováním dopadů a testováním oprav napříč podporovanými verzemi. Tuto práci podporujeme financováním, přístupem k výkonným modelům a přímou technickou pomocí.

Pokročilé schopnosti AI se rozvíjejí napříč celým odvětvím. Očekáváme, že AI bude obráncům stále více pomáhat s hledáním zranitelností, monitorováním systémů a reakcí na hrozby. Investujeme do modelů, nástrojů a partnerství, které obráncům pomohou tyto schopnosti využít v praxi.

Naše investice zahrnují předplatná pro všechny správce prostřednictvím programu Codex pro OSS a přímé sponzorování projektů, jako je Rust Foundation⁠(otevře se v novém okně), na podporu správců a technické práce. Každý projekt si určuje vlastní priority. Opakovaně použitelné testy a bezpečnostní pracovní postupy mohou snížit náročnost řešení budoucích nálezů. Open-source projekty si mohou požádat o zapojení do Patch the Planet⁠(otevře se v novém okně) a získat přímou pomoc.

Pro Daybreak také kalibrujeme další blokovací klasifikátory, abychom omezili možnosti zneužití. To vyžaduje obtížné kompromisy: ochranná opatření proti zneužití mohou blokovat i legitimní bezpečnostní práci. Zásadní je jak široký přístup k výkonným modelům, tak účinná ochrana proti zneužití. Naším cílem je zachovat schopnosti, které obránci potřebují k hledání a opravování zranitelností, a zároveň omezit škodlivé využití. Tuto rovnováhu budeme dále dolaďovat s tím, jak se budou schopnosti rozvíjet a jak budeme získávat zkušenosti s používáním těchto nástrojů.

S rostoucími schopnostmi modelů se možnosti rozšiřují i nad rámec hledání a oprav jednotlivých zranitelností. Chceme pomáhat vývojářům vytvářet bezpečnější software od samého začátku. Vylepšení široce používané komponenty může zabránit chybám nebo omezit jejich dopad v mnoha produktech a službách.

AI může vývojářům pomoci porozumět stávajícímu kódu, připravit změny a vytvářet testy. Správci a bezpečnostní odborníci přitom ověřují, že tyto změny zachovávají chování, na které uživatelé spoléhají. Příležitosti vidíme v několika oblastech:

• Bezpečný kód od samého začátku. Modely pro programování mohou vývojářům pomoci volit bezpečnější výchozí nastavení, správně používat bezpečnostní knihovny a odhalovat rizikové vzorce už při psaní kódu. Předcházení zranitelnostem během vývoje znamená méně nouzových oprav pro správce i uživatele.

• Software s bezpečnou správou paměti. Převedení kritických komponent do jazyků s bezpečnou správou paměti může odstranit běžné kategorie chyb při práci s pamětí. AI může pomoci s migrací, zatímco testy a odborná kontrola ověří chování a kompatibilitu.

• Formální verifikace. Matematické důkazy mohou prokázat, že kritické komponenty za daných předpokladů splňují stanovené bezpečnostní vlastnosti. Uplatnění těchto metod u široce používaných komponent by mohlo pomoci vyloučit celé kategorie zranitelností ve službách a kritické infrastruktuře, které na nich závisejí.

• Důslednější izolace. Systémy potřebují ochranu i před zranitelnostmi, které dosud nebyly nalezeny nebo opraveny. Spouštění softwaru, který zpracovává nedůvěryhodné soubory, obrázky či média, v přísně omezených izolovaných prostředích může omezit škody v případě jeho napadení. AI může vývojářům pomoci testovat a posilovat široce používané technologie izolace, a tím zlepšovat ochranu mnoha aplikací.

Náš přístup sdílíme proto, aby správci, výzkumníci, týmy pro reakci na incidenty, poskytovatelé a provozovatelé mohli přispět k jeho použitelnosti v praxi. Chceme zjistit, kde by pomohl, kde by mohl způsobit zdržení nebo přidat práci a co jsme přehlédli. Zvlášť užitečné by byly příklady z dřívějších případů zveřejnění zranitelností.

Zajímají nás zejména tato témata:

• Lhůty pro zveřejnění. Kolik času potřebují správci, provozovatelé a obránci na přípravu a nasazení spolehlivých oprav? Jaké důkazy by měly vést k dřívějšímu zveřejnění, zejména pokud lze některé uživatele ochránit dříve než jiné?

• Nouzové nasazování oprav. Měly by státní orgány nebo jiní provozovatelé někdy využít zranitelnost k opravě systémů, které vlastní nebo smějí spravovat, pokud k nim ztratí administrátorský přístup? Pokud ano, kdy? Jaká ochranná opatření by se měla uplatnit? Dokážeme si představit cílový stav, kdy by po celém internetu nepřetržitě probíhalo vyhledávání známých zranitelností a při jejich odhalení by systém buď upozornil vlastníky webů, nebo provedl opravu.

• Včasné upozornění. Kdo potřebuje varování předem, aby mohl přijmout účinné ochranné opatření, včetně obránců, které bychom mohli přehlédnout? Kdy funguje postupné informování lépe než upozornění širší skupiny najednou a jak bychom měli poměřovat rozsah ochrany s rizikem úniku informací?

• Softwarové balíčky bezpečné ve výchozím nastavení. Jak můžeme pomoci hledat a opravovat zranitelnosti v odvozených balíčcích, zatímco se čeká na opravy v původních projektech, nebo přenášet opravy do starších verzí, které už nedostávají bezpečnostní aktualizace? Jaké testování a údržba by z těchto balíčků učinily spolehlivou volbu tam, kde není možný včasný upgrade?

Uvítáme také doporučení nezávislých bezpečnostních odborníků, kteří mohou náš přístup posoudit, kriticky prověřit jeho předpoklady a odhalit mezery. Vaše podněty nám pomohou postup reakce zdokonalit a určit priority podpory. Podělte se s námi o zpětnou vazbu⁠(otevře se v novém okně).