Sa nakalipas na dalawang buwan, pinangunahan namin ang isang koalisyon ng mga maintainer, mananaliksik, at security provider upang tugunan ang mga kritikal na kahinaan sa PHP, isang open-source programming language na ginagamit sa mga website at web application. Natukoy ng Calif ang isang kritikal na depekto gamit ang GPT‑5.6 Sol bilang bahagi ng aming inisyatibang Patch the Planet(magbubukas sa bagong window). Hiwalay ding natuklasan at iniulat ng Wiz ang parehong kahinaan. Pinangunahan ng mga maintainer ng PHP ang mga pag-aayos at paglalabas nito. Nag-ambag ang aming mga team at mga partner gaya ng Wiz, Cloudflare, at iba pa ng pananaliksik, teknikal na suporta, at koordinasyon upang maihanda ang mga proteksyon bago isapubliko ang mga kahinaan.
Para sa mga organisasyong gumagamit ng PHP, ang prayoridad ngayon ay ilapat ang mga pag-aayos. Nagbabahagi kami ng PHP version checker bilang isang Codex skill(magbubukas sa bagong window) upang matulungan ang mga operator na tukuyin ang mga bersyon ng PHP na posibleng may kahinaan at, gamit din ang gabay ng PHP at ng kanilang mga provider, malaman kung aling mga update ang naaangkop.
Dahil sa tindi ng mga depektong ito at sa malawak na paggamit ng PHP, itinuturing namin itong isa sa pinakamalalaking isyu sa seguridad nitong mga nakaraang taon. Ipinapakita nito kung paano makatutuklas ang AI ng mga depekto sa seguridad na may epekto sa buong internet. Ngunit maaari ring makatulong ang mga kakayahang ito sa mga umaatake na mabilis na bumuo ng mga tool sa pag-atake at exploit.
Sa pagkakaalam namin, nauna ang frontier AI kaysa sa mga umaatake sa pagtuklas ng mga kahinaang ito. Nagbukas ito ng Palugit para sa mga Tagapagtanggol upang maihanda ng mga maintainer at security provider ang mga pag-aayos at proteksyon bago ang pagsasapubliko.
Upang mas maraming tagapagtanggol ang makagamit ng mga kakayahang ito, naglaan kami ng $1 bilyon bilang subsidiya sa access sa Daybreak sa pamamagitan ng Daybreak para sa mga Tagapagtanggol sa Unahan, para sa mga organisasyong nagpoprotekta sa mahahalagang serbisyo ngunit kapos sa mga mapagkukunan para sa seguridad.
Bagaman malubha ang mga bug na ito, kabilang lamang sila sa ilang malalaking kahinaang natuklasan na namin at kasalukuyang inaayos. Inaasahan naming dadami nang husto ang mga katulad na matutuklasan sa mga darating na buwan. Batay sa karanasan namin sa ngayon, nagbabahagi kami ng panukalang paraan ng pagtugon sa mga kritikal na kahinaan sa malawakang ginagamit na software, na angkop sa panahon ng AI. Hinihiling namin sa komunidad ng seguridad na tumulong sa pagpapahusay ng balangkas na ito. Pinagsasama nito ang aming mga modelo, kadalubhasaan sa seguridad, at mga maintainer upang gawing proteksyon ang mga natuklasan at bumuo ng tugong kayang lumawak kasabay ng pag-unlad ng AI.
Para magamit ang isang pag-aayos, maaaring kailangan itong iangkop sa mas lumang mga release, maghanda ng mga pansamantalang proteksyon kasama ang mga provider, at mag-update ng mga sistema sa maraming organisasyon. Nakakatulong ang prosesong maaaring ulit-uliting sundin upang mabilis na makakilos ang mga team habang dumarami ang natutuklasang kahinaan.
Sa pamamagitan ng Patch the Planet, nag-ambag kami ng kadalubhasaan sa seguridad at access sa modelo upang suportahan ang pagtugon sa PHP. Nakipagtulungan din kami sa mga maintainer at research partner upang subukan ang mga pag-aayos at maghanda ng gabay. Tumulong din kaming makipag-ugnayan sa mga infrastructure provider tungkol sa proteksyon ng mga apektadong sistema, at sa mga ahensya ng pamahalaan para sa cybersecurity upang maipaabot ang gabay sa mahahalagang organisasyon. Sinuportahan nito ang tugong pinangunahan ng mga maintainer at nakatulong sa paghahanda ng iba pang tagapagtanggol.
Para sa ilang natuklasan, maaaring direktang makipagtulungan ang mga mananaliksik sa mga maintainer ng software upang siyasatin ang isyu at gumawa ng pag-aayos. Kailangan naman ng mas malawak na tugon ang iba dahil maraming produkto ang apektado o kailangan ng mga distributor at service provider ng oras upang maghanda ng mga update at proteksyon. Maaaring maikli ang panahong ito kung hindi gaanong nangunguna ang mga kakayahang frontier sa mga kakayahang malawak nang magagamit. Sa mga ganitong kaso, makakatulong ang panukalang balangkas sa mga maintainer na tukuyin kung sino ang kailangang kasangkot at pag-ugnayin ang gawain. Maaaring magkaroon ng limang yugto ang pagtugon:
Kumpirmahin at ayusin ang kahinaan sa upstream. Kinukumpirma ng maintainer, mga mananaliksik, at mahahalagang technical partner ang natuklasan, sinusuri ang epekto nito, at gumagawa at sumusubok ng pag-aayos. Kabilang dito ang pagsubok na ginagaya ang mga pag-atake gamit ang mga frontier na modelo upang makahanap ng mga paraan para malusutan ang patch at ng mga kaugnay na baryante ng kahinaan.
Bigyan ng oras ang mga apektadong organisasyon na kumilos. Nagmumungkahi kami ng balangkas upang matukoy kung aling mga organisasyon ang nangangailangan ng paunang impormasyon para makapaghanda ng proteksyon. Ang mga maintainer ang magpapasya kung sino ang isasangkot. Tumutulong kami sa pakikipag-ugnayan, mga kasunduan sa pagbabahagi ng impormasyon, at koordinasyon sa pagitan ng mga team. Maaaring iangkop ng distributor ang pag-aayos sa mas lumang release, subukan ng hosting provider ang pansamantalang proteksyon, at maghanda ang security provider ng mga hakbang sa pagtukoy o pagpigil sa pag-atake, kabilang ang mga panuntunan ng web application firewall (WAF).
Makipag-ugnayan sa mga partner sa pamahalaan upang makatulong na protektahan ang mga kritikal na sistema. Mahalaga ang papel ng mga ahensya ng pamahalaan sa pag-uugnay ng mas malawak na tugon at pagpapaabot ng gabay sa seguridad sa mga organisasyong responsable sa kritikal na imprastraktura at iba pang mahahalagang serbisyo. Sa kaso ng PHP, kasama ang aming mga partner, nakipag-ugnayan kami sa iba't ibang bahagi ng pamahalaan ng U.S., kabilang ang Super Intelligence Force ng White House, Office of the National Cyber Director (ONCD), at Cybersecurity and Infrastructure Security Agency (CISA), pati na sa mga internasyonal na partner upang suportahan ang gawaing ito.
Maghanda ng mga update para sa lahat ng apektadong produkto. Habang nabubuo ang pinal na pag-aayos, gabay, at plano ng pagsasapubliko, maaaring isangkot ng mga maintainer ang iba pang distributor, hosting at service provider, response team, at operator upang maghanda ng mga update at tugunan ang mga puwang sa proteksyon.
Kapag mayroon nang patch, maglathala ng gabay at suportahan ang pagpapatupad nito. Nakakatulong ang pampublikong gabay upang masuri ang panganib, makahanap ng mga update mula sa opisyal na pinagmulan o ng pansamantalang proteksyon, at matiyak na gumagana na ang pag-aayos. Nagpapatuloy ang pagtugon habang naglalapat ng mga update ang mga operator at iniuulat kung saan nila kailangan ng tulong.
Isinasaalang-alang ng panukalang balangkas ang papel ng organisasyon sa pagprotekta, kabilang sa sarili nitong mga sistema at customer, ang oras na kailangan para kumilos, at ang kakayahan nitong humawak ng sensitibong impormasyon. Parehong pamantayan ang ilalapat sa magkakatulad na organisasyon. Ang mga maintainer ang magpapasya kung sino ang isasangkot bago ang pagsasapubliko.
Matatanggap ng bawat kalahok ang impormasyong kailangan sa kanilang gawaing pangproteksyon, mula sa mga network log na may palatandaan ng pagkompromiso hanggang sa mas sensitibong gumaganang proof-of-concept exploit. Kahit limitadong detalye ay maaaring maglantad ng kahinaan, kaya tinitimbang namin ang panganib ng pagbabahagi laban sa proteksyong maidudulot nito.
Makikipagtulungan sa mga maintainer ang mga team na susunod sa balangkas na ito upang bigyan ng oras ang mga tagapagtanggol na maghanda. Muling susuriin ang iskedyul kung may aktuwal nang pagsasamantala sa kahinaan, pagtagas ng impormasyon, pampublikong patch na naglalantad ng kahinaan, o pagtaas ng panganib dahil sa naudlot na pag-aayos.
Tinitipon sa website ng Patch the Planet(magbubukas sa bagong window) ang mga pampublikong ulat at gabay upang matulungan ang mga operator na tukuyin ang mga apektadong sistema, mahanap ang tamang update, at tiyaking gumagana nang maayos ang na-update na software. Para sa PHP, itinuturo nito ang opisyal na patch at mga tagubilin sa pag-upgrade mula sa mga maintainer, at ang teknikal na pananaliksik ng aming mga partner. Saklaw din ng gabay ang pansamantalang proteksyon, kung kailan dapat isangkot ang provider o eksperto, at ang pag-backup at pagbawi ng sistema. Maaaring mabawasan ng pansamantalang proteksyon ang panganib, ngunit lilinawin namin ang mga limitasyon at kapalit na epekto nito sa operasyon.
Maaaring gamitin ng mga operator ang gabay ng CISA sa pagtakda ng prayoridad at pag-aayos(magbubukas sa bagong window) upang malaman kung gaano kabilis dapat kumilos batay sa pagkakalantad, pagsasamantala sa kahinaan, at posibleng epekto. Maaaring mangailangan ito ng agarang paglalapat ng patch, agarang pansamantalang proteksyon, o nakaplanong update, kasama ng paunang forensic na pagsusuri kung kinakailangan upang malaman kung nakompromiso na ang mga sistema. Dapat muling suriin ang mga prayoridad habang nagbabago ang sitwasyon, na may malinaw na plano tungo sa pangmatagalang pag-aayos.
Nakasalalay ang pandaigdigang koordinasyon sa mga taong nagpapanatili ng software. Maraming proyekto ang pinapatakbo ng maliliit na team na nagsusuri ng mga ulat sa seguridad kasabay ng karaniwang pag-develop. Kailangan nila ng tulong sa paghihiwalay ng mga bagong isyu sa mga naulit na ulat, pagsusuri ng epekto, at pagsubok ng mga pag-aayos sa lahat ng suportadong release. Sinusuportahan namin ang gawaing iyon sa pamamagitan ng pondo, access sa mahuhusay na modelo, at direktang tulong sa engineering.
Umuunlad sa buong industriya ang malalakas na kakayahan ng AI. Inaasahan naming lalawak ang papel nito sa pagtulong sa mga tagapagtanggol na makahanap ng mga kahinaan, sumubaybay sa mga sistema, at tumugon sa mga banta. Namumuhunan kami sa mga modelo, tool, at pakikipagtulungan upang matulungan ang mga tagapagtanggol na magamit ang mga kakayahang iyon.
Kabilang sa aming mga pamumuhunan ang mga subscription para sa lahat ng maintainer sa pamamagitan ng Codex para sa OSS at direktang pagpopondo sa mga proyekto gaya ng Rust Foundation(magbubukas sa bagong window) para sa mga maintainer at teknikal na gawain. Bawat proyekto ang nagtatakda ng sarili nitong mga prayoridad. Ang mga pagsubok at workflow sa seguridad na magagamit muli ay makakabawas sa trabahong kailangan para tugunan ang mga susunod na matutuklasan. Maaaring mag-apply sa Patch the Planet(magbubukas sa bagong window) ang mga open-source na proyekto para sa direktang suporta.
Inaayos din namin ang mga karagdagang classifier sa Daybreak na humaharang sa mga kahilingan upang mabawasan ang posibilidad ng maling paggamit. May mahihirap na pagtitimbang dito: maaari ring maharang ng mga pananggalang laban sa pang-aabuso ang lehitimong gawain sa seguridad. Kapwa napakahalaga ng malawak na access sa mahuhusay na modelo at ng epektibong proteksyon laban sa maling paggamit. Layunin naming mapanatili ang mga kakayahang kailangan ng mga tagapagtanggol upang makahanap at mag-ayos ng mga kahinaan, habang nililimitahan ang mapaminsalang paggamit. Patuloy naming pagbubutihin ang balanseng ito habang umuunlad ang mga kakayahan at natututo kami mula sa paggamit ng mga tool na ito.
Habang humuhusay ang mga modelo, lumalawak ang mga oportunidad lampas sa pagtuklas at pag-aayos ng paisa-isang kahinaan. Gusto naming tulungan ang mga engineer na bumuo ng mas ligtas na software mula pa sa simula. Ang pagpapahusay ng isang component na malawakang ginagamit ay maaaring makaiwas sa mga bug o makapaglimita ng epekto ng mga ito sa maraming produkto at serbisyo.
Makakatulong ang AI sa mga engineer na unawain ang kasalukuyang code, maghanda ng mga pagbabago, at bumuo ng mga pagsubok. Samantala, titiyakin ng mga maintainer at eksperto sa seguridad na napapanatili ng mga pagbabago ang paggana ng software na inaasahan ng mga user. Nakakakita kami ng mga oportunidad sa ilang larangan:
Ligtas na code mula pa sa simula. Makakatulong ang mga modelo sa coding upang makapili ang mga developer ng mas ligtas na mga default, magamit nang tama ang mga security library, at matukoy ang mga mapanganib na pattern habang nagsusulat ng code. Ang pag-iwas sa mga kahinaan habang nagde-develop ay nangangahulugan ng mas kaunting agarang pag-aayos para sa mga maintainer at user.
Software na ligtas ang paggamit ng memory. Ang paglilipat ng mga kritikal na component sa mga memory-safe na programming language ay maaaring mag-alis ng mga karaniwang uri ng error sa memory. Makakatulong ang AI sa paglilipat, kasabay ng mga pagsubok at pagsusuri ng eksperto upang matiyak ang paggana at compatibility.
Pormal na beripikasyon. Maipapakita ng mga matematikal na patunay na natutugunan ng mga kritikal na component ang itinakdang mga katangian ng seguridad sa ilalim ng mga nakasaad na palagay. Ang paggamit ng mga paraang ito sa mga component na malawakang ginagamit ay maaaring makatulong na alisin ang ilang uri ng kahinaan sa mga serbisyo at kritikal na imprastrakturang umaasa sa mga ito.
Mas matibay na paghihiwalay. Kailangan ng mga sistema ng proteksyon laban sa mga kahinaang hindi pa natutuklasan o naaayos. Malilimitahan ang pinsala kung makompromiso ang software na nagpoproseso ng mga hindi pinagkakatiwalaang file, larawan, o media kung pinapatakbo ito sa mga sandbox na may mahihigpit na limitasyon. Makakatulong ang AI sa mga engineer na subukan at patibayin ang mga teknolohiya sa sandboxing na malawakang ginagamit, na magpapahusay sa proteksyon ng maraming application.
Ibinabahagi namin ang aming paraan upang makatulong ang mga maintainer, mananaliksik, response team, provider, at operator na gawin itong praktikal. Gusto naming maunawaan kung saan ito makakatulong, saan ito maaaring magdulot ng pagkaantala o dagdag na pasanin, at ano ang hindi namin napansin. Lalong makakatulong ang mga halimbawa mula sa mga nakaraang pagsasapubliko ng kahinaan.
Partikular naming gustong malaman ang inyong pananaw tungkol sa:
Palugit bago ang pagsasapubliko. Gaano katagal ang kailangan ng mga maintainer, operator, at tagapagtanggol upang maghanda at magpatupad ng maaasahang mga pag-aayos? Anong ebidensya ang dapat maging batayan ng mas maagang pagsasapubliko, lalo na kung mas maagang mapoprotektahan ang ilang user kaysa sa iba?
Agarang paglalapat ng patch. May pagkakataon bang dapat gamitin ng mga pamahalaan o iba pang operator ang isang kahinaan upang maglapat ng patch sa mga sistemang pag-aari nila o awtorisado silang pamahalaan, matapos mawala ang kanilang administrator access? Kung mayroon, kailan? Anong mga pananggalang ang dapat ipatupad? Naiisip naming maaaring humantong ito sa tuloy-tuloy na pag-scan sa buong internet para sa mga kilalang kahinaan, at sa pag-abiso sa mga may-ari ng site kapag may natukoy o sa paglalapat ng patch sa sistema.
Maagang abiso. Sino ang nangangailangan ng paunang babala upang makagawa ng kapaki-pakinabang na hakbang sa pagprotekta, kabilang ang mga tagapagtanggol na maaaring hindi namin maisama? Kailan mas epektibo ang paunti-unting pag-abiso kaysa sa sabayang pag-abiso sa mas malawak na grupo, at paano dapat timbangin ang lawak ng naaabot laban sa panganib ng pagtagas ng impormasyon?
Mga software package na ligtas bilang default. Paano tayo makakatulong na tukuyin at ayusin ang mga kahinaan sa mga downstream package habang hinihintay ang mga pag-aayos sa upstream, o mailapat ang mga pag-aayos sa mas lumang bersyon na hindi na nakakatanggap ng mga security update? Anong pagsubok at pagpapanatili ang kailangan upang maging maaasahang opsyon ang mga package na ito kapag hindi posible ang napapanahong pag-upgrade?
Tumatanggap din kami ng mga rekomendasyon para sa mga independiyenteng eksperto sa seguridad na makakasuri sa paraang ito, makakakuwestiyon sa mga palagay na pinagbabatayan nito, at makakatukoy ng mga puwang. Makakatulong ang inyong mga pananaw upang mapahusay namin ang pagtugon at maitakda kung saan uunahin ang suporta. Ibahagi ang inyong feedback dito(magbubukas sa bagong window).
