בחודשיים האחרונים הובלנו קואליציה של מתחזקי תוכנה, חוקרים וספקי אבטחה לטיפול בחולשות קריטיות ב-PHP, שפת תכנות בקוד פתוח המשמשת להפעלת אתרי אינטרנט ויישומי רשת. Calif זיהתה ליקוי קריטי בעזרת GPT‑5.6 Sol במסגרת יוזמת Patch the Planet(נפתח בחלון חדש) שלנו. גם Wiz גילתה באופן עצמאי את שתי החולשות ודיווחה עליהן. מתחזקי PHP הובילו את פיתוח התיקונים והפצתם, והצוותים שלנו ושותפים כמו Wiz, Cloudflare ואחרים תרמו מחקר, תמיכה טכנית ותיאום כדי להכין אמצעי הגנה לפני פרסום החולשות.
עבור ארגונים המשתמשים ב-PHP, העדיפות כעת היא להתקין את התיקונים. אנחנו משתפים כלי לבדיקת גרסת PHP כמיומנות של Codex(נפתח בחלון חדש) כדי לעזור למפעילי מערכות לזהות גרסאות PHP שעלולות להיות פגיעות, ולקבוע אילו עדכונים נדרשים, בשילוב ההנחיות של PHP ושל הספקים שלהם.
לנוכח חומרת הליקויים והשימוש הנרחב ב-PHP, אנחנו רואים בכך אחת מבעיות האבטחה בעלות ההשפעה הגדולה ביותר בשנים האחרונות. המקרה ממחיש כיצד בינה מלאכותית יכולה לחשוף ליקויי אבטחה שמשפיעים על האינטרנט כולו, אך אותן יכולות יכולות גם לעזור לתוקפים לפתח במהירות כלי תקיפה וקוד לניצול חולשות.
למיטב ידיעתנו, frontier AI גילתה את החולשות האלה לפני התוקפים, ופתחה חלון הזדמנויות למגינים, שבו מתחזקי התוכנה וספקי האבטחה יכלו להכין תיקונים ואמצעי הגנה לפני פרסום החולשות.
כדי לעזור ליותר מגינים להשתמש ביכולות האלה, התחייבנו להקצות מיליארד דולר לסבסוד גישה ל-Daybreak במסגרת Daybreak למגינים בקו הראשון, תוך התמקדות בארגונים בעלי משאבי אבטחה מוגבלים המגינים על שירותים חיוניים.
למרות חומרתן, התקלות האלה הן רק חלק מכמה חולשות משמעותיות שכבר מצאנו ושאנחנו פועלים לתקן. אנחנו צופים שמספר הממצאים הדומים יגדל בחדות בחודשים הקרובים. על סמך הניסיון שצברנו עד כה, אנחנו משתפים גישה מוצעת לטיפול בחולשות קריטיות בתוכנות נפוצות, המותאמת לעידן הבינה המלאכותית, ומבקשים מקהילת האבטחה לעזור לשפר את מסגרת הפעולה הזו. הגישה משלבת את המודלים ואת מומחיות האבטחה שלנו עם עבודתם של מתחזקי התוכנה, כדי לתרגם ממצאים להגנה ולבנות מערך תגובה שיוכל להתרחב עם התקדמות יכולות הבינה המלאכותית.
הטמעת תיקון עשויה לדרוש התאמה שלו לגרסאות ישנות, הכנת אמצעים לצמצום הסיכון מצד ספקים ועדכון מערכות בארגונים רבים. תהליך סדור שאפשר לחזור עליו עוזר לצוותים האלה לפעול במהירות ככל שמתגלות חולשות נוספות.
באמצעות Patch the Planet תרמנו מומחיות באבטחה וגישה למודלים כדי לתמוך בטיפול בחולשות ב-PHP, ועבדנו עם מתחזקי התוכנה ושותפי מחקר כדי לבדוק תיקונים ולהכין הנחיות. סייענו גם בתיאום עם ספקי תשתיות בנוגע להגנה על מערכות פגיעות, ורתמנו גופי סייבר ממשלתיים כדי לעזור להפיץ את ההנחיות לארגונים קריטיים. כך תמכנו בתגובה שהובילו מתחזקי התוכנה ועזרנו למגינים נוספים להיערך.
בחלק מהמקרים, חוקרים יכולים לעבוד ישירות עם מתחזקי התוכנה כדי לחקור את הבעיה ולפתח תיקון. מקרים אחרים דורשים תגובה רחבה יותר, משום שהם משפיעים על מוצרים רבים או משום שמפיצים וספקי שירותים זקוקים לזמן כדי להכין עדכונים ואמצעי הגנה. הזמן הזה עלול להיות קצר אם יכולות החזית אינן מקדימות בהרבה את היכולות הזמינות לציבור הרחב. במקרים האלה, מסגרת הפעולה המוצעת יכולה לעזור למתחזקי התוכנה לזהות את מי צריך לערב ולתאם את העבודה. התגובה יכולה לכלול חמישה שלבים:
אימות החולשה ותיקונה בפרויקט המקור. מתחזקי התוכנה, החוקרים והשותפים הטכניים החיוניים מאמתים את הממצא, מעריכים את השפעתו, ומפתחים ובודקים תיקון. התהליך כולל בדיקות המדמות תקיפה בעזרת מודלי חזית, כדי לחפש דרכים לעקוף את התיקון וגרסאות נוספות של החולשה.
מתן זמן לפעולה לארגונים המושפעים. אנחנו מציעים מסגרת לבחינת הארגונים שזקוקים למידע מוקדם כדי להכין אמצעי הגנה, כשההחלטה את מי לערב נשארת בידי מתחזקי התוכנה. אנחנו מסייעים ביצירת קשר, בהסכמים לשיתוף מידע ובתיאום בין צוותים. מפיץ עשוי להתאים תיקון לגרסה ישנה, ספק אחסון עשוי לבדוק אמצעי לצמצום הסיכון, וספק אבטחה עשוי להכין אמצעי זיהוי או מניעה, לרבות כללים לחומת אש ליישומי רשת (WAF).
תיאום עם שותפים ממשלתיים כדי לסייע בהגנה על מערכות קריטיות. לגופים ממשלתיים תפקיד חיוני בתיאום תגובה רחבה יותר ובהפצת הנחיות אבטחה לארגונים האחראים לתשתיות קריטיות ולשירותים חיוניים אחרים. במקרה של PHP פעלנו, בשיתוף השותפים שלנו, ליצירת קשר עם כמה גופים בממשל האמריקאי, ובהם כוח המשימה לבינת-על של הבית הלבן, משרד מנהל הסייבר הלאומי (ONCD) והסוכנות לאבטחת סייבר ותשתיות (CISA), וכן עם שותפים בינלאומיים, כדי לתמוך במאמץ.
הכנת עדכונים לכלל המוצרים המושפעים. כשהתיקון, ההנחיות ותוכניות הפרסום מתגבשים, מתחזקי התוכנה יכולים לערב מפיצים נוספים, ספקי אחסון ושירותים, צוותי תגובה ומפעילי מערכות, כדי להכין עדכונים ולסגור פערים בכיסוי.
פרסום הנחיות ותמיכה בהטמעה ברגע שיש תיקון זמין. הנחיות לציבור עוזרות למשתמשים להעריך את מידת החשיפה שלהם, למצוא עדכונים ממקורות מוסמכים או אמצעים זמניים לצמצום הסיכון, ולוודא שהתיקון מיושם בפועל. הטיפול נמשך בזמן שמפעילי המערכות מטמיעים עדכונים ומדווחים היכן הם זקוקים לעזרה.
מסגרת הפעולה המוצעת מביאה בחשבון את תפקידו של הארגון בהגנה, לרבות הגנה על המערכות שלו ועל לקוחותיו, את הזמן הדרוש לו לפעול ואת יכולתו לטפל במידע רגיש. אותם קריטריונים יחולו על ארגונים בעלי מאפיינים דומים, ומתחזקי התוכנה יחליטו את מי לערב לפני פרסום החולשה.
כל משתתף מקבל את המידע הדרוש לו לביצוע עבודת ההגנה, החל ביומני רשת עם סימנים לפריצה ועד למידע רגיש יותר, כמו קוד ניצול פעיל להוכחת היתכנות. גם פרטים מעטים יכולים לחשוף חולשה, ולכן אנחנו שוקלים את הסיכון שבשיתופם מול ההגנה שהם מאפשרים.
צוותים שיפעלו לפי המסגרת הזו יעבדו עם מתחזקי התוכנה כדי לתת למגינים זמן להיערך, ויבחנו מחדש את לוח הזמנים במקרה של ניצול פעיל מחוץ לסביבת בדיקה, דליפה, תיקון פומבי שחושף את החולשה, או סיכון מוגבר למשתמשים עקב עיכוב בטיפול.
אתר Patch the Planet(נפתח בחלון חדש) מרכז פרסומים והנחיות לציבור כדי לעזור למפעילי מערכות לזהות מערכות פגיעות, למצוא את העדכון המתאים ולוודא שהתוכנה המעודכנת פועלת כראוי. במקרה של PHP, האתר מפנה לתיקון הרשמי ולהוראות השדרוג של מתחזקי התוכנה, ולמחקר הטכני של השותפים שלנו. ההנחיות עוסקות גם באמצעים זמניים לצמצום הסיכון, במקרים שבהם כדאי לערב ספק או מומחה, ובגיבוי ושחזור. אמצעי הגנה זמניים יכולים להפחית את הסיכון, אך נבהיר את מגבלותיהם ואת המחיר התפעולי הכרוך בשימוש בהם.
מפעילי מערכות יכולים להיעזר בהנחיות CISA לתעדוף ולטיפול בחולשות(נפתח בחלון חדש) כדי להעריך באיזו מהירות יש לפעול, על סמך מידת החשיפה, ניצול החולשה וההשפעה האפשרית. בהתאם לכך, ייתכן שיידרשו התקנת תיקון חירום, צמצום מיידי של הסיכון או עדכון מתוכנן, לצד בדיקה פורנזית ראשונית במקרים המתאימים כדי להעריך אם מערכות כבר נפרצו. יש לבחון מחדש את סדרי העדיפויות עם שינוי הנסיבות, ולהגדיר דרך ברורה לפתרון קבוע.
תיאום עולמי תלוי באנשים שמתחזקים את התוכנה. פרויקטים רבים מנוהלים בידי צוותים קטנים שבוחנים דיווחי אבטחה לצד עבודת הפיתוח השוטפת. הצוותים האלה זקוקים לעזרה בהבחנה בין בעיות חדשות לדיווחים כפולים, בהערכת ההשפעה ובבדיקת תיקונים בכל הגרסאות הנתמכות. אנחנו תומכים בעבודה הזו באמצעות מימון, גישה למודלים מתקדמים וסיוע הנדסי מעשי.
יכולות בינה מלאכותית עוצמתיות מתקדמות בכל רחבי התעשייה, ואנחנו צופים שלבינה מלאכותית יהיה תפקיד הולך וגדל בסיוע למגינים באיתור חולשות, בניטור מערכות ובתגובה לאיומים. אנחנו משקיעים במודלים, בכלים ובשותפויות כדי לעזור למגינים להשתמש ביכולות האלה בפועל.
ההשקעות שלנו כוללות מינויים לכל מתחזקי התוכנה דרך Codex לקוד פתוח, ותמיכה כספית ישירה בפרויקטים כמו קרן Rust(נפתח בחלון חדש), למימון מתחזקי התוכנה והעבודה הטכנית. כל פרויקט קובע את סדרי העדיפויות שלו. בדיקות ותהליכי אבטחה שאפשר להשתמש בהם שוב יכולים לצמצם את המאמץ הדרוש לטיפול בממצאים עתידיים. פרויקטי קוד פתוח יכולים להגיש בקשה ל-Patch the Planet(נפתח בחלון חדש) לקבלת תמיכה מעשית.
אנחנו גם מכיילים מסווגים נוספים לחסימת שימושים ב-Daybreak, כדי לעזור לצמצם את הפוטנציאל לשימוש לרעה. התהליך דורש הכרעות מורכבות: מנגנוני הגנה שנועדו למנוע שימוש לרעה עלולים לחסום גם עבודת אבטחה לגיטימית. גם גישה רחבה למודלים מתקדמים וגם הגנה יעילה מפני שימוש לרעה הן חיוניות. המטרה שלנו היא לשמר את היכולות שמגינים צריכים כדי למצוא ולתקן חולשות, ובה בעת להגביל שימוש מזיק. נמשיך לדייק את האיזון הזה ככל שהיכולות יתקדמו וככל שנלמד מהשימוש בכלים האלה.
ככל שיכולות המודלים משתפרות, נפתחות הזדמנויות מעבר לאיתור ותיקון של חולשות בודדות. אנחנו רוצים לעזור למהנדסים לבנות תוכנה מאובטחת יותר מלכתחילה. שיפורים ברכיב נפוץ יכולים למנוע תקלות או להגביל את השפעתן במוצרים ובשירותים רבים.
בינה מלאכותית יכולה לעזור למהנדסים להבין קוד קיים, להכין שינויים ולפתח בדיקות, בזמן שמתחזקי התוכנה ומומחי אבטחה מוודאים שהשינויים משמרים את אופן הפעולה שעליו המשתמשים מסתמכים. אנחנו רואים הזדמנויות בכמה תחומים:
קוד מאובטח מההתחלה. מודלים לכתיבת קוד יכולים לעזור למפתחים לבחור ברירות מחדל בטוחות יותר, להשתמש נכון בספריות אבטחה ולזהות דפוסים מסוכנים תוך כדי כתיבה. מניעת חולשות במהלך הפיתוח מצמצמת את הצורך בתיקוני חירום עבור מתחזקי התוכנה והמשתמשים.
תוכנה עם בטיחות זיכרון. העברת רכיבים קריטיים לשפות עם בטיחות זיכרון יכולה למנוע קטגוריות נפוצות של שגיאות זיכרון. בינה מלאכותית יכולה לסייע במעבר, לצד בדיקות ובחינה של מומחים לאימות אופן הפעולה והתאימות.
אימות פורמלי. הוכחות מתמטיות יכולות להראות שרכיבים קריטיים עומדים בדרישות אבטחה מוגדרות תחת הנחות מפורשות. יישום השיטות האלה ברכיבים נפוצים עשוי לעזור למנוע קטגוריות שלמות של חולשות בשירותים ובתשתיות הקריטיות התלויים בהם.
בידוד מחוזק. מערכות זקוקות להגנה מפני חולשות שטרם נמצאו או תוקנו. הפעלת תוכנה שמעבדת קבצים, תמונות או מדיה ממקורות לא מהימנים בסביבות ארגז חול בעלות הגבלות מחמירות יכולה להגביל את הנזק במקרה של פריצה לתוכנה. בינה מלאכותית יכולה לעזור למהנדסים לבדוק ולחזק טכנולוגיות נפוצות של בידוד בארגז חול, וכך לשפר את ההגנה ביישומים רבים.
אנחנו משתפים את הגישה שלנו כדי שמתחזקי תוכנה, חוקרים, צוותי תגובה, ספקים ומפעילי מערכות יוכלו לעזור להפוך אותה לישימה. אנחנו רוצים להבין היכן היא תועיל, היכן היא עלולה לגרום לעיכוב או להכביד, ומה החמצנו. דוגמאות מפרסום חולשות בעבר יועילו במיוחד.
אנחנו מעוניינים במיוחד בנושאים הבאים:
חלונות זמן לפרסום חולשות. כמה זמן דרוש למתחזקי תוכנה, למפעילי מערכות ולמגינים כדי להכין ולהטמיע תיקונים אמינים? אילו ראיות צריכות להוביל להקדמת הפרסום, במיוחד כשאפשר להגן על חלק מהמשתמשים מוקדם יותר מאשר על אחרים?
התקנת תיקוני חירום. מתי, אם בכלל, ראוי שממשלות או מפעילי מערכות אחרים ינצלו חולשה כדי להתקין תיקונים במערכות שבבעלותם או שהם מורשים לנהל, לאחר שאיבדו גישת מנהל? אילו מנגנוני הגנה צריכים לחול במקרים האלה? אנחנו יכולים לדמיין מצב עתידי שבו מתבצעת סריקה רציפה בכל רחבי האינטרנט לאיתור חולשות מוכרות, וכאשר מתגלה חולשה, נשלחת הודעה לבעלי האתר או מותקן תיקון במערכת.
הודעה מוקדמת. מי זקוק להתרעה מוקדמת כדי לנקוט פעולת הגנה מועילה, לרבות מגינים שאולי לא הבאנו בחשבון? מתי מסירת הודעות בשלבים יעילה יותר מהודעה לקבוצה רחבה בבת אחת, וכיצד עלינו לשקול את היקף הכיסוי מול הסיכון לדליפה?
חבילות תוכנה מאובטחות כברירת מחדל. איך נוכל לעזור לזהות ולתקן חולשות בחבילות המבוססות על פרויקטי מקור שעדיין ממתינים לתיקון, או להתאים תיקונים לגרסאות ישנות שכבר אינן מקבלות עדכוני אבטחה? אילו בדיקות ותחזוקה יהפכו את החבילות האלה לחלופות אמינות כשאי אפשר לשדרג בזמן?
נשמח גם לקבל המלצות על מומחי אבטחה עצמאיים שיוכלו לבחון את הגישה, לערער על הנחות היסוד שלה ולזהות פערים. המשוב שלכם יעזור לנו לשפר את התגובה ולקבוע סדרי עדיפויות לתמיכה. שתפו כאן את המשוב שלכם(נפתח בחלון חדש).
