De seneste to måneder har vi stået i spidsen for en koalition af vedligeholdere, forskere og sikkerhedsleverandører for at afhjælpe kritiske sårbarheder i PHP, et open source-programmeringssprog, der bruges til at drive websteder og webapplikationer. Calif fandt en kritisk fejl med GPT‑5.6 Sol som led i vores Patch the Planet(åbner i et nyt vindue)-initiativ. Wiz opdagede og rapporterede også begge sårbarheder uafhængigt heraf. PHP’s vedligeholdere ledede arbejdet med rettelserne og udgivelsen, mens vores teams og partnere som Wiz, Cloudflare og andre bidrog med forskning, teknisk støtte og koordinering for at forberede beskyttelse inden offentliggørelsen.
For organisationer, der bruger PHP, er det vigtigste nu at installere rettelserne. Vi deler et værktøj til kontrol af PHP-versioner som en Codex-færdighed(åbner i et nyt vindue) for at hjælpe driftsansvarlige med at finde potentielt sårbare PHP-versioner og, sammen med vejledning fra PHP og deres leverandører, afgøre, hvilke opdateringer der er relevante.
På grund af fejlenes alvor og PHP’s store udbredelse betragter vi dette som et af de mest vidtrækkende sikkerhedsproblemer i nyere tid. Det viser, hvordan AI kan afdække sikkerhedsfejl med konsekvenser på tværs af internettet, men de samme evner kan også hjælpe angribere med hurtigt at udvikle angrebsværktøjer og udnyttelseskode.
Så vidt vi ved, fandt banebrydende AI disse sårbarheder før angriberne. Det gav vedligeholdere og sikkerhedsleverandører et tidsvindue for forsvarerne til at forberede rettelser og beskyttelse inden offentliggørelsen.
For at hjælpe flere forsvarere med at bruge disse evner har vi afsat 1 milliard dollar til subsidieret adgang til Daybreak gennem Daybreak for Frontline Defenders, målrettet organisationer med begrænsede sikkerhedsressourcer, der beskytter samfundsvigtige tjenester.
Selvom disse fejl er alvorlige, er de blot nogle af de væsentlige sårbarheder, vi allerede har fundet og arbejder på at rette. Vi forventer en kraftig stigning i lignende fund i de kommende måneder. Med afsæt i vores hidtidige erfaringer deler vi et forslag til, hvordan kritiske sårbarheder i udbredt software kan håndteres i AI-tidsalderen, og beder sikkerhedsmiljøet om hjælp til at forbedre denne ramme. Den samler vores modeller, sikkerhedsekspertise og vedligeholdere for at omsætte fund til beskyttelse og skabe en indsats, der kan skaleres i takt med AI’s udvikling.
At få en rettelse taget i brug kan kræve tilpasning til ældre versioner, forberedelse af afværgeforanstaltninger hos leverandører og opdatering af systemer i mange organisationer. En proces, der kan gentages, hjælper disse teams med at handle hurtigt, efterhånden som flere sårbarheder opdages.
Gennem Patch the Planet bidrog vi med sikkerhedsekspertise og modeladgang til PHP-indsatsen og samarbejdede med vedligeholdere og forskningspartnere om at teste rettelser og udarbejde vejledning. Vi hjalp også med at koordinere beskyttelse af berørte systemer med infrastrukturleverandører og inddrog statslige cybersikkerhedsmyndigheder, så vejledningen kunne nå ud til kritiske organisationer. Det støttede indsatsen, som vedligeholderne stod i spidsen for, og hjalp andre forsvarere med at forberede sig.
Ved nogle fund kan forskere arbejde direkte med softwarens vedligeholdere om at undersøge problemet og udvikle en rettelse. Andre kræver en bredere indsats, fordi de berører mange produkter, eller fordi distributører og tjenesteudbydere skal bruge tid til at forberede opdateringer og beskyttelse. Den tid kan være knap, hvis banebrydende AI-evner ikke er langt foran de bredt tilgængelige. I disse tilfælde kan den foreslåede ramme hjælpe vedligeholdere med at afgøre, hvem der skal inddrages, og koordinere arbejdet. Indsatsen kan omfatte fem faser:
Bekræft og ret sårbarheden i det oprindelige projekt. Vedligeholderen, forskerne og centrale tekniske partnere bekræfter fundet, vurderer konsekvenserne og udvikler og tester en rettelse. Processen omfatter test med banebrydende modeller ud fra angriberens perspektiv for at finde måder at omgå rettelsen på og beslægtede varianter af sårbarheden.
Giv berørte organisationer tid til at handle. Vi foreslår en ramme for at vurdere, hvilke organisationer der har brug for forhåndsoplysninger for at forberede beskyttelse. Vedligeholderne afgør, hvem der skal inddrages. Vi hjælper med at etablere kontakt, indgå aftaler om informationsdeling og koordinere på tværs af teams. En distributør kan tilpasse en rettelse til en ældre version, en hostingudbyder kan teste en afværgeforanstaltning, og en sikkerhedsleverandør kan forberede tiltag til detektion eller forebyggelse, herunder regler til en webapplikationsfirewall (WAF).
Koordiner med myndighedspartnere for at beskytte kritiske systemer. Statslige myndigheder spiller en afgørende rolle i at koordinere en bredere indsats og sikre, at sikkerhedsvejledning når ud til organisationer med ansvar for kritisk infrastruktur og andre samfundsvigtige tjenester. I PHP-sagen arbejdede vi sammen med vores partnere på at inddrage flere dele af den amerikanske regering, herunder Det Hvide Hus' Super Intelligence Force, Office of the National Cyber Director (ONCD) og Cybersecurity and Infrastructure Security Agency (CISA). Vi inddrog også internationale partnere for at støtte indsatsen.
Forbered opdateringer til de berørte produkter. Når rettelsen, vejledningen og planerne for offentliggørelse ligger fast, kan vedligeholderne inddrage flere distributører, hosting- og tjenesteudbydere, beredskabsteams og driftsansvarlige for at forberede opdateringer og lukke huller i dækningen.
Offentliggør vejledning og støt udrulningen, når en rettelse er tilgængelig. Offentlig vejledning hjælper folk med at vurdere deres eksponering, finde officielle opdateringer eller midlertidige afværgeforanstaltninger og kontrollere, at en rettelse er taget i brug. Indsatsen fortsætter, mens de driftsansvarlige udruller opdateringer og melder tilbage om, hvor de har brug for hjælp.
Den foreslåede ramme tager højde for organisationens beskyttende rolle, herunder beskyttelse af egne systemer og kunder, den tid, den har brug for til at handle, og dens evne til at håndtere følsomme oplysninger. De samme kriterier vil gælde for sammenlignelige organisationer, mens vedligeholderne afgør, hvem der skal inddrages inden offentliggørelsen.
Hver deltager modtager de oplysninger, der er nødvendige for at udføre beskyttelsesarbejdet, fra netværkslogfiler med indikatorer på kompromittering til mere følsom, fungerende demonstrationskode til udnyttelse af sårbarheder. Selv få detaljer kan afsløre en sårbarhed, så vi afvejer risikoen ved at dele dem mod den beskyttelse, de muliggør.
Teams, der følger denne ramme, vil samarbejde med vedligeholdere om at give forsvarerne tid til at forberede sig og revurdere tidsplanen, hvis sårbarheden udnyttes aktivt, oplysninger lækkes, en offentlig rettelse afslører problemet, eller forsinket afhjælpning øger risikoen for brugerne.
Patch the Planets websted(åbner i et nyt vindue) samler offentliggjorte sårbarhedsoplysninger og vejledning, så driftsansvarlige kan finde berørte systemer, vælge den rette opdatering og kontrollere, at den opdaterede software fungerer korrekt. For PHP henviser det til vedligeholdernes officielle rettelse og opgraderingsvejledning samt vores partneres tekniske forskning. Vejledningen dækker også midlertidige afværgeforanstaltninger, hvornår en leverandør eller ekspert bør inddrages, samt sikkerhedskopiering og gendannelse. Midlertidig beskyttelse kan mindske risikoen, men vi vil tydeliggøre dens begrænsninger og driftsmæssige ulemper.
Driftsansvarlige kan bruge CISA’s vejledning om prioritering og afhjælpning(åbner i et nyt vindue) til at vurdere, hvor hurtigt de skal handle ud fra eksponering, udnyttelse og mulige konsekvenser. Det kan betyde akut installation af rettelser, øjeblikkelige afværgeforanstaltninger eller en planlagt opdatering, eventuelt ledsaget af en indledende it-forensisk undersøgelse for at vurdere, om systemerne allerede er kompromitteret. Prioriteterne bør revurderes, når forholdene ændrer sig, med en klar vej til varig afhjælpning.
Global koordinering afhænger af de mennesker, der vedligeholder softwaren. Mange projekter drives af små teams, der gennemgår sikkerhedsrapporter ved siden af det løbende udviklingsarbejde. Disse teams har brug for hjælp til at skelne nye problemer fra dubletter, vurdere konsekvenserne og teste rettelser på tværs af understøttede versioner. Vi støtter arbejdet med finansiering, adgang til stærke modeller og praktisk teknisk hjælp.
AI bliver stadig mere kraftfuld på tværs af branchen, og vi forventer, at AI får en voksende rolle i at hjælpe forsvarere med at finde sårbarheder, overvåge systemer og reagere på trusler. Vi investerer i modeller, værktøjer og partnerskaber, der hjælper forsvarere med at udnytte disse evner.
Vores investeringer omfatter abonnementer til alle vedligeholdere gennem Codex for OSS og direkte sponsorstøtte til projekter som Rust Foundation(åbner i et nyt vindue) til vedligeholdere og teknisk arbejde. Hvert projekt fastlægger sine egne prioriteter. Genanvendelige test og sikkerhedsarbejdsgange kan mindske arbejdet med at håndtere fremtidige fund. Open source-projekter kan ansøge hos Patch the Planet(åbner i et nyt vindue) om praktisk støtte.
Vi kalibrerer også yderligere klassifikatorer til blokering i Daybreak for at mindske mulighederne for misbrug. Det kræver svære afvejninger: Sikkerhedsforanstaltninger, der skal forhindre misbrug, kan også blokere legitimt sikkerhedsarbejde. Både bred adgang til stærke modeller og effektiv beskyttelse mod misbrug er afgørende. Vores mål er at bevare de evner, forsvarerne har brug for til at finde og rette sårbarheder, og samtidig begrænse skadelig brug. Vi vil løbende justere balancen, efterhånden som evnerne udvikler sig, og vi lærer af, hvordan værktøjerne bruges.
Efterhånden som modellerne bliver stærkere, rækker mulighederne ud over at finde og rette enkelte sårbarheder. Vi vil hjælpe udviklere med at bygge sikrere software fra starten. Forbedringer af en udbredt komponent kan forebygge fejl eller begrænse deres konsekvenser på tværs af mange produkter og tjenester.
AI kan hjælpe udviklere med at forstå eksisterende kode, forberede ændringer og udvikle test, mens vedligeholdere og sikkerhedseksperter kontrollerer, at ændringerne bevarer den funktionalitet, brugerne er afhængige af. Vi ser muligheder på flere områder:
Sikker kode fra starten. Kodningsmodeller kan hjælpe udviklere med at vælge sikrere standardindstillinger, bruge sikkerhedsbiblioteker korrekt og opdage risikable mønstre, mens de skriver kode. Forebyggelse af sårbarheder under udviklingen betyder færre akutte rettelser for vedligeholdere og brugere.
Hukommelsessikker software. Omskrivning af kritiske komponenter til hukommelsessikre sprog kan fjerne almindelige kategorier af hukommelsesfejl. AI kan hjælpe med migreringer, mens test og ekspertgennemgang kontrollerer funktionalitet og kompatibilitet.
Formel verifikation. Matematiske beviser kan vise, at kritiske komponenter opfylder bestemte sikkerhedsegenskaber under angivne forudsætninger. Bruges disse metoder på udbredte komponenter, kan de bidrage til at udelukke hele kategorier af sårbarheder i de tjenester og den kritiske infrastruktur, der afhænger af dem.
Stærkere isolation. Systemer skal beskyttes mod sårbarheder, der endnu ikke er fundet eller rettet. Når software, der behandler ikke-betroede filer, billeder eller andet medieindhold, kører i stramt begrænsede sandkassemiljøer, kan skaden begrænses, hvis softwaren kompromitteres. AI kan hjælpe udviklere med at teste og styrke udbredte sandkasseteknologier og dermed forbedre beskyttelsen på tværs af mange applikationer.
Vi deler vores tilgang, så vedligeholdere, forskere, beredskabsteams, leverandører og driftsansvarlige kan hjælpe med at gøre den brugbar i praksis. Vi vil forstå, hvor den kan hjælpe, hvor den kan skabe forsinkelser eller ekstra arbejde, og hvad vi har overset. Eksempler fra tidligere offentliggørelser af sårbarheder vil være særligt nyttige.
Vi er især interesserede i:
Tidsfrister for offentliggørelse. Hvor lang tid har vedligeholdere, driftsansvarlige og forsvarere brug for til at forberede og udrulle pålidelige rettelser? Hvilke tegn bør udløse en tidligere offentliggørelse, især når nogle brugere kan beskyttes hurtigere end andre?
Akut installation af rettelser. Bør myndigheder eller andre driftsansvarlige nogensinde udnytte en sårbarhed til at installere rettelser på systemer, de ejer eller har tilladelse til at administrere, efter at have mistet administratoradgangen – og i så fald hvornår? Hvilke sikkerhedsforanstaltninger bør gælde? Vi kan forestille os et slutmål med konstant scanning af hele internettet for kendte sårbarheder, hvor webstedsejerne enten underrettes, når en sårbarhed opdages, eller systemet får installeret en rettelse.
Tidlig varsling. Hvem har brug for forhåndsvarsling for at kunne træffe nyttige beskyttelsestiltag, herunder forsvarere, vi måske overser? Hvornår fungerer trinvis varsling bedre end at underrette en større gruppe på én gang, og hvordan bør vi afveje dækning mod risikoen for læk?
Softwarepakker, der er sikre som standard. Hvordan kan vi hjælpe med at finde og rette sårbarheder i afledte pakker, mens vi venter på rettelser i det oprindelige projekt, eller overføre rettelser til ældre versioner, der ikke længere modtager sikkerhedsopdateringer? Hvilke test og hvilken vedligeholdelse vil gøre disse pakker til pålidelige alternativer, når en rettidig opgradering ikke er mulig?
Vi modtager også gerne forslag til uafhængige sikkerhedseksperter, der kan gennemgå tilgangen, udfordre dens antagelser og identificere mangler. Jeres input vil hjælpe os med at forbedre indsatsen og prioritere støtten. Del jeres feedback her(åbner i et nyt vindue).
