Selama dua bulan terakhir, kami memimpin koalisi pengelola, peneliti, dan penyedia keamanan untuk mengatasi kerentanan kritis di PHP, bahasa pemrograman sumber terbuka untuk menjalankan situs dan aplikasi web. Calif menemukan celah kritis menggunakan GPT‑5.6 Sol melalui inisiatif Patch the Planet(terbuka di jendela baru) kami. Wiz juga secara independen menemukan dan melaporkan kedua kerentanan tersebut. Pengelola PHP memimpin perbaikan dan rilisnya, sementara tim kami serta mitra seperti Wiz, Cloudflare, dan lainnya menyumbangkan riset, dukungan teknis, dan koordinasi untuk menyiapkan perlindungan sebelum pengungkapan.
Bagi organisasi pengguna PHP, prioritas saat ini adalah menerapkan perbaikan. Kami membagikan pemeriksa versi PHP sebagai keterampilan Codex(terbuka di jendela baru) untuk membantu operator mengenali versi PHP yang berpotensi rentan dan, dengan panduan dari PHP serta penyedia mereka, menentukan pembaruan yang sesuai.
Mengingat tingkat keparahan celah ini dan luasnya penggunaan PHP, kami menilainya sebagai salah satu masalah keamanan paling berdampak dalam beberapa waktu terakhir. Temuan ini menunjukkan bagaimana AI dapat mengungkap celah keamanan yang berdampak di seluruh internet. Namun, kemampuan yang sama juga dapat membantu penyerang mengembangkan alat serangan dan eksploit dengan cepat.
Sepengetahuan kami, AI terdepan menemukan kerentanan ini sebelum penyerang, sehingga membuka Jendela Peluang bagi Tim Pertahanan agar pengelola dan penyedia keamanan dapat menyiapkan perbaikan dan perlindungan sebelum pengungkapan.
Agar lebih banyak tim pertahanan dapat menggunakan kemampuan ini, kami berkomitmen menyediakan subsidi senilai US$1 miliar untuk akses Daybreak melalui Daybreak for Frontline Defenders, dengan fokus pada organisasi bersumber daya keamanan terbatas yang melindungi layanan esensial.
Meski sangat serius, bug ini hanyalah sebagian dari sejumlah kerentanan besar yang telah kami temukan dan sedang kami perbaiki. Kami memperkirakan temuan serupa akan meningkat tajam dalam beberapa bulan mendatang. Berdasarkan pengalaman sejauh ini, kami membagikan usulan pendekatan yang sesuai dengan era AI untuk menangani kerentanan kritis pada perangkat lunak yang banyak digunakan, dan mengajak komunitas keamanan menyempurnakan kerangka kerja ini. Pendekatan ini memadukan model dan keahlian keamanan kami dengan peran pengelola untuk mengubah temuan menjadi perlindungan serta membangun respons yang dapat diperluas seiring kemajuan kemampuan AI.
Penerapan perbaikan bisa memerlukan penyesuaian untuk rilis lama, penyiapan mitigasi oleh penyedia, dan pembaruan sistem di banyak organisasi. Proses yang dapat diulang membantu tim-tim tersebut bertindak cepat seiring bertambahnya temuan kerentanan.
Melalui Patch the Planet, kami menyumbangkan keahlian keamanan dan akses model untuk mendukung penanganan PHP, serta bekerja sama dengan pengelola dan mitra riset untuk menguji perbaikan dan menyiapkan panduan. Kami juga membantu berkoordinasi dengan penyedia infrastruktur untuk melindungi sistem terdampak dan melibatkan lembaga siber pemerintah agar panduan menjangkau organisasi penting. Langkah ini mendukung respons yang dipimpin pengelola dan membantu tim pertahanan lain bersiap.
Untuk sebagian temuan, peneliti dapat bekerja langsung dengan pengelola perangkat lunak untuk menyelidiki masalah dan mengembangkan perbaikan. Temuan lain memerlukan respons lebih luas karena berdampak pada banyak produk, atau karena distributor dan penyedia layanan perlu waktu untuk menyiapkan pembaruan dan perlindungan. Waktu ini mungkin terbatas jika kemampuan terdepan tidak jauh melampaui kemampuan yang tersedia luas. Dalam kasus tersebut, kerangka kerja yang diusulkan dapat membantu pengelola menentukan siapa yang perlu dilibatkan dan mengoordinasikan pekerjaan. Respons dapat mencakup lima tahap:
Validasi dan perbaiki kerentanan di hulu. Pengelola, peneliti, dan mitra teknis utama mengonfirmasi temuan, menilai dampaknya, serta mengembangkan dan menguji perbaikan. Proses ini mencakup pengujian adversarial dengan model terdepan untuk mencari cara menembus patch dan varian kerentanan terkait.
Beri organisasi terdampak waktu untuk bertindak. Kami mengusulkan kerangka kerja untuk mempertimbangkan organisasi mana yang memerlukan informasi lebih awal guna menyiapkan perlindungan, sementara pengelola memutuskan siapa yang dilibatkan. Kami membantu menjangkau pihak terkait, menyusun perjanjian berbagi informasi, dan mengoordinasikan antartim. Distributor dapat menyesuaikan perbaikan untuk rilis lama, penyedia hosting dapat menguji mitigasi, dan penyedia keamanan dapat menyiapkan langkah deteksi atau pencegahan, termasuk aturan firewall aplikasi web (WAF).
Berkoordinasi dengan mitra pemerintah untuk membantu melindungi sistem kritis. Lembaga pemerintah berperan penting dalam mengoordinasikan respons yang lebih luas dan membantu panduan keamanan menjangkau organisasi penanggung jawab infrastruktur kritis serta layanan esensial lainnya. Dalam kasus PHP, bersama para mitra, kami berupaya melibatkan berbagai bagian pemerintah AS, termasuk Super Intelligence Force Gedung Putih, Kantor Direktur Siber Nasional (ONCD), Badan Keamanan Siber dan Infrastruktur (CISA), serta mitra internasional untuk mendukung upaya tersebut.
Siapkan pembaruan untuk seluruh produk terdampak. Setelah perbaikan, panduan, dan rencana pengungkapan mulai mantap, pengelola dapat melibatkan lebih banyak distributor, penyedia hosting dan layanan, tim respons, serta operator untuk menyiapkan pembaruan dan menutup celah cakupan.
Setelah patch tersedia, terbitkan panduan dan dukung penerapannya. Panduan publik membantu orang menilai keterpaparan, menemukan pembaruan resmi atau mitigasi sementara, dan memastikan perbaikan sudah berjalan. Respons berlanjut saat operator menerapkan pembaruan dan melaporkan kebutuhan bantuan.
Kerangka kerja yang diusulkan mempertimbangkan peran perlindungan organisasi, termasuk melindungi sistem dan pelanggannya sendiri, waktu yang diperlukan untuk bertindak, serta kemampuannya menangani informasi sensitif. Kriteria yang sama berlaku bagi organisasi sebanding, dengan pengelola memutuskan siapa yang dilibatkan sebelum pengungkapan.
Setiap peserta menerima informasi yang dibutuhkan untuk melakukan perlindungan, mulai dari log jaringan berisi indikator kompromi hingga eksploit bukti konsep yang berfungsi dan lebih sensitif. Detail terbatas pun dapat mengungkap kerentanan, jadi kami menimbang risiko berbagi informasi dengan perlindungan yang dimungkinkannya.
Tim yang mengikuti kerangka kerja ini akan bekerja sama dengan pengelola agar tim pertahanan sempat bersiap, serta meninjau ulang jadwal jika terjadi eksploitasi aktif di dunia nyata, kebocoran, patch publik yang mengungkap kerentanan, atau peningkatan risiko bagi pengguna akibat perbaikan yang tersendat.
Situs Patch the Planet(terbuka di jendela baru) menghimpun pengungkapan publik dan panduan untuk membantu operator mengenali sistem terdampak, menemukan pembaruan yang tepat, dan memastikan perangkat lunak yang diperbarui berjalan dengan baik. Untuk PHP, situs ini menyediakan rujukan ke patch resmi dan petunjuk peningkatan versi dari pengelola, serta riset teknis para mitra kami. Panduan ini juga mencakup mitigasi sementara, kapan perlu melibatkan penyedia atau pakar, serta pencadangan dan pemulihan. Perlindungan sementara dapat mengurangi risiko, tetapi kami akan menjelaskan batasan dan kompromi operasionalnya.
Operator dapat menggunakan panduan CISA tentang penentuan prioritas dan remediasi(terbuka di jendela baru) untuk menilai seberapa cepat harus bertindak berdasarkan keterpaparan, eksploitasi, dan potensi dampak. Tindakannya bisa berupa penerapan patch darurat, mitigasi segera, atau pembaruan terencana, disertai triase forensik bila diperlukan untuk menilai apakah sistem telah disusupi. Prioritas perlu ditinjau ulang seiring perubahan kondisi, dengan jalur yang jelas menuju perbaikan permanen.
Koordinasi global bergantung pada orang-orang yang memelihara perangkat lunak. Banyak proyek dijalankan oleh tim kecil yang meninjau laporan keamanan di sela pekerjaan pengembangan rutin. Tim-tim ini perlu bantuan untuk membedakan masalah baru dari laporan duplikat, menilai dampak, dan menguji perbaikan pada berbagai rilis yang masih didukung. Kami mendukung pekerjaan tersebut dengan pendanaan, akses ke model berkemampuan tinggi, dan bantuan teknis langsung.
Kemampuan AI yang canggih terus berkembang di seluruh industri. Kami memperkirakan peran AI akan makin besar dalam membantu tim pertahanan menemukan kerentanan, memantau sistem, dan merespons ancaman. Kami berinvestasi dalam model, alat, dan kemitraan untuk membantu tim pertahanan memanfaatkan kemampuan tersebut.
Investasi kami mencakup langganan bagi semua pengelola melalui Codex for OSS serta sponsor langsung untuk proyek seperti Rust Foundation(terbuka di jendela baru) guna mendukung pengelola dan pekerjaan teknis. Setiap proyek menentukan prioritasnya sendiri. Pengujian dan alur kerja keamanan yang dapat digunakan kembali bisa mengurangi upaya penanganan temuan berikutnya. Proyek sumber terbuka dapat mendaftar ke Patch the Planet(terbuka di jendela baru) untuk mendapatkan dukungan langsung.
Kami juga sedang mengalibrasi pengklasifikasi pemblokiran tambahan untuk Daybreak guna membantu mengurangi potensi penyalahgunaan. Hal ini menuntut kompromi yang sulit: pengamanan untuk mencegah penyalahgunaan juga dapat menghambat pekerjaan keamanan yang sah. Akses luas ke model berkemampuan tinggi dan perlindungan efektif terhadap penyalahgunaan sama-sama sangat penting. Tujuan kami adalah mempertahankan kemampuan yang dibutuhkan tim pertahanan untuk menemukan dan memperbaiki kerentanan, sekaligus membatasi penggunaan berbahaya. Kami akan terus menyempurnakan keseimbangan ini seiring kemajuan kemampuan dan pembelajaran dari penggunaan alat-alat tersebut.
Seiring meningkatnya kemampuan model, peluangnya meluas, tidak hanya untuk menemukan dan memperbaiki kerentanan satu per satu. Kami ingin membantu para perekayasa membangun perangkat lunak yang lebih aman sejak awal. Perbaikan pada komponen yang banyak digunakan dapat mencegah bug atau membatasi dampaknya pada banyak produk dan layanan.
AI dapat membantu perekayasa memahami kode yang ada, menyiapkan perubahan, dan mengembangkan pengujian, sementara pengelola dan pakar keamanan memastikan perubahan tersebut mempertahankan perilaku perangkat lunak yang diandalkan pengguna. Kami melihat peluang di beberapa bidang:
Kode yang aman sejak awal. Model pemrograman dapat membantu pengembang memilih pengaturan bawaan yang lebih aman, menggunakan pustaka keamanan dengan benar, dan mendeteksi pola berisiko saat menulis kode. Mencegah kerentanan selama pengembangan berarti mengurangi kebutuhan perbaikan darurat bagi pengelola dan pengguna.
Perangkat lunak dengan penggunaan memori yang aman. Memindahkan komponen kritis ke bahasa yang menjamin keamanan memori dapat menghilangkan kategori kesalahan memori yang umum. AI dapat membantu migrasi, disertai pengujian dan tinjauan pakar untuk memeriksa perilaku serta kompatibilitasnya.
Verifikasi formal. Pembuktian matematis dapat menunjukkan bahwa komponen kritis memenuhi sifat keamanan tertentu berdasarkan asumsi yang dinyatakan. Penerapan metode ini pada komponen yang banyak digunakan dapat membantu meniadakan kategori kerentanan di berbagai layanan dan infrastruktur kritis yang bergantung padanya.
Isolasi yang lebih kuat. Sistem perlu dilindungi dari kerentanan yang belum ditemukan atau diperbaiki. Menjalankan perangkat lunak yang memproses file, gambar, atau media tak tepercaya dalam sandbox dengan pembatasan ketat dapat membatasi kerusakan jika perangkat lunak itu disusupi. AI dapat membantu perekayasa menguji dan memperkuat teknologi sandbox yang banyak digunakan, sehingga meningkatkan perlindungan di banyak aplikasi.
Kami membagikan pendekatan ini agar pengelola, peneliti, tim respons, penyedia, dan operator dapat membantu membuatnya praktis diterapkan. Kami ingin memahami di bagian mana pendekatan ini membantu, di mana ia bisa menambah penundaan atau beban, dan apa yang terlewat oleh kami. Contoh dari pengungkapan sebelumnya akan sangat berguna.
Kami terutama ingin mendapat masukan tentang:
Jangka waktu pengungkapan. Berapa lama waktu yang diperlukan pengelola, operator, dan tim pertahanan untuk menyiapkan serta menerapkan perbaikan yang andal? Bukti apa yang seharusnya memicu pengungkapan lebih awal, terutama ketika sebagian pengguna dapat dilindungi lebih cepat daripada yang lain?
Penerapan patch darurat. Adakah situasi ketika pemerintah atau operator lain sebaiknya memanfaatkan kerentanan untuk menerapkan patch pada sistem milik mereka atau yang berwenang mereka kelola setelah kehilangan akses administrator? Jika ada, kapan? Pengamanan apa yang harus diterapkan? Kami dapat membayangkan kondisi akhir berupa pemindaian terus-menerus di seluruh internet untuk mencari kerentanan yang diketahui, lalu memberi tahu pemilik situs ketika kerentanan terdeteksi atau menerapkan patch pada sistemnya.
Pemberitahuan awal. Siapa yang memerlukan peringatan dini agar dapat mengambil langkah perlindungan yang bermanfaat, termasuk tim pertahanan yang mungkin luput dari perhatian kami? Kapan pemberitahuan bertahap lebih efektif daripada memberi tahu kelompok yang lebih luas sekaligus, dan bagaimana sebaiknya kita menimbang cakupan perlindungan terhadap risiko kebocoran?
Paket perangkat lunak yang aman secara bawaan. Bagaimana kita dapat membantu menemukan dan memperbaiki kerentanan pada paket hilir sambil menunggu perbaikan di hulu, atau mengadaptasi perbaikan untuk versi lama yang tak lagi menerima pembaruan keamanan? Pengujian dan pemeliharaan apa yang diperlukan agar paket ini menjadi pilihan andal ketika peningkatan versi tepat waktu tidak memungkinkan?
Kami juga menerima rekomendasi pakar keamanan independen yang dapat meninjau pendekatan ini, menguji asumsi-asumsinya, dan mengidentifikasi kekurangan. Masukan Anda akan membantu kami menyempurnakan respons dan memprioritaskan dukungan. Sampaikan masukan Anda di sini(terbuka di jendela baru).
