Patch the Planet: alþjóðleg samhæfing þegar gervigreindarfulltrúar finna alvarlega veikleika

Undanfarna tvo mánuði höfum við leitt samstarf umsjónaraðila, rannsakenda og öryggisfyrirtækja um að laga alvarlega veikleika í PHP, opnu forritunarmáli sem knýr vefsíður og vefforrit. Calif fann alvarlegan veikleika með GPT‑5.6 Sol innan Patch the Planet⁠(opnast í nýjum glugga)-verkefnisins okkar. Wiz uppgötvaði einnig báða veikleikana sjálfstætt og tilkynnti um þá. Umsjónaraðilar PHP leiddu vinnuna við lagfæringar og útgáfu. Teymi okkar og samstarfsaðilar á borð við Wiz og Cloudflare lögðu til rannsóknir, tæknilega aðstoð og samhæfingu til að undirbúa varnir áður en veikleikarnir yrðu birtir opinberlega.

Forgangsverkefni þeirra sem nota PHP er nú að innleiða lagfæringarnar. Við deilum tóli til að kanna PHP-útgáfur sem færnieiningu fyrir Codex⁠(opnast í nýjum glugga) til að hjálpa rekstraraðilum að finna hugsanlega berskjaldaðar PHP-útgáfur og ákvarða hvaða uppfærslur eiga við, með hliðsjón af leiðbeiningum frá PHP og þjónustuveitendum þeirra.

Í ljósi alvarleika þessara veikleika og víðtækrar notkunar PHP teljum við þetta eitt áhrifamesta öryggismál síðari ára. Það sýnir hvernig gervigreind getur afhjúpað öryggisveikleika sem hafa víðtæk áhrif á internetið. Sama geta getur þó líka hjálpað árásaraðilum að þróa árásartól og aðferðir til að nýta veikleika á skömmum tíma.

Eftir því sem við best vitum fann háþróuð gervigreind þessa veikleika á undan árásaraðilum. Það skapaði svigrúm til varna fyrir umsjónaraðila og öryggisfyrirtæki til að undirbúa lagfæringar og varnir áður en veikleikarnir yrðu birtir opinberlega.

Til að fleiri geti nýtt þessa getu til varna höfum við heitið einum milljarði Bandaríkjadala í niðurgreiddan aðgang að Daybreak í gegnum Daybreak for Frontline Defenders. Áherslan er á stofnanir og fyrirtæki sem verja nauðsynlega þjónustu en hafa takmarkað fjármagn og mannafla til öryggismála.

Þótt þessir veikleikar séu alvarlegir eru þeir aðeins hluti þeirra alvarlegu veikleika sem við höfum þegar fundið og vinnum að því að laga. Við búumst við að sambærilegum uppgötvunum fjölgi ört á næstu mánuðum. Með reynslu okkar hingað til að leiðarljósi leggjum við fram tillögu að viðbragðsferli sem hæfir öld gervigreindar vegna alvarlegra veikleika í útbreiddum hugbúnaði. Við leitum til öryggissamfélagsins eftir aðstoð við að bæta það. Ferlið sameinar líkön okkar, öryggisþekkingu og umsjónaraðila svo uppgötvanir leiði til raunverulegra varna og viðbrögðin geti vaxið í takt við framfarir í gervigreind.

Til að innleiða lagfæringuna getur þurft að aðlaga hana eldri útgáfum, undirbúa mótvægisaðgerðir hjá þjónustuveitendum og uppfæra kerfi hjá mörgum stofnunum og fyrirtækjum. Endurtakanlegt ferli hjálpar þessum teymum að bregðast hratt við þegar fleiri veikleikar finnast.

Í gegnum Patch the Planet lögðum við til öryggisþekkingu og aðgang að líkönum til að styðja við viðbrögðin vegna PHP. Við unnum einnig með umsjónaraðilum og rannsóknaraðilum að prófunum á lagfæringum og gerð leiðbeininga. Við aðstoðuðum líka við að samhæfa varnir fyrir kerfi sem urðu fyrir áhrifum með innviðaveitendum og fengum netöryggisstofnanir stjórnvalda til liðs við okkur svo leiðbeiningar bærust til aðila sem gegna lykilhlutverki. Þetta studdi við viðbrögð undir forystu umsjónaraðilanna og hjálpaði öðrum sem sinna vörnum að undirbúa sig.

Þegar sumir veikleikar finnast geta rannsakendur unnið beint með umsjónaraðilum hugbúnaðarins að rannsókn málsins og lagfæringu. Aðrir krefjast víðtækari viðbragða vegna þess að þeir snerta margar vörur eða vegna þess að dreifingar- og þjónustuaðilar þurfa tíma til að undirbúa uppfærslur og varnir. Sá tími getur verið naumur ef háþróuð geta er ekki langt á undan þeirri sem er almennt aðgengileg. Í slíkum tilvikum getur fyrirhugað ferli hjálpað umsjónaraðilum að greina hverjir þurfa að koma að verkinu og samhæfa það. Viðbrögðin geta skipst í fimm stig:

• Staðfesta og laga veikleikann í upprunaverkefninu. Umsjónaraðili, rannsakendur og nauðsynlegir tæknilegir samstarfsaðilar staðfesta niðurstöðuna, meta áhrifin og þróa og prófa lagfæringu. Þetta felur í sér árásarprófanir með háþróuðum líkönum til að komast fram hjá lagfæringunni og finna skyld afbrigði veikleikans.

• Gefa aðilum sem verða fyrir áhrifum tíma til að bregðast við. Við leggjum til viðmið um hvaða aðilar þurfa upplýsingar fyrirfram til að undirbúa varnir, en umsjónaraðilar ákveða hverjir koma að málinu. Við aðstoðum við að ná til viðkomandi aðila, gera samninga um upplýsingamiðlun og samhæfa vinnu teyma. Dreifingaraðili gæti aðlagað lagfæringu eldri útgáfu, hýsingaraðili prófað mótvægisaðgerð og öryggisfyrirtæki undirbúið greiningar- eða varnaraðgerðir, þar á meðal reglur fyrir vefforritseldveggi (WAF).

• Samhæfa aðgerðir með stjórnvöldum til að verja mikilvæg kerfi. Opinberar stofnanir gegna lykilhlutverki í að samhæfa víðtækari viðbrögð og koma öryggisleiðbeiningum til þeirra sem bera ábyrgð á mikilvægum innviðum og annarri nauðsynlegri þjónustu. Í tilviki PHP unnum við með samstarfsaðilum okkar að því að ná til margra aðila innan bandaríska stjórnkerfisins. Þar á meðal voru ofurgreindarsveit Hvíta hússins (SIF), skrifstofa landsstjóra netöryggismála (ONCD) og netöryggis- og innviðaöryggisstofnunin (CISA), auk alþjóðlegra samstarfsaðila sem studdu við starfið.

• Undirbúa uppfærslur fyrir allar vörur sem verða fyrir áhrifum. Þegar lagfæringin, leiðbeiningar og birtingaráætlanir eru komnar í fastar skorður geta umsjónaraðilar fengið fleiri dreifingar-, hýsingar-, þjónustu- og rekstraraðila og viðbragðsteymi til liðs við sig til að undirbúa uppfærslur og fylla í eyður í vörnum.

• Birta leiðbeiningar og styðja við uppsetningu þegar lagfæring er tiltæk. Opinberar leiðbeiningar hjálpa fólki að meta berskjöldun, finna uppfærslur úr áreiðanlegum heimildum eða tímabundnar mótvægisaðgerðir og ganga úr skugga um að lagfæring sé virk. Viðbrögðin halda áfram meðan rekstraraðilar setja upp uppfærslur og tilkynna hvar þeir þurfa aðstoð.

Tillagan tekur mið af varnarhlutverki hvers aðila, þar á meðal vörnum eigin kerfa og viðskiptavina, þeim tíma sem þarf til að bregðast við og getu hans til að meðhöndla viðkvæmar upplýsingar. Sömu viðmið myndu gilda um sambærilega aðila og umsjónaraðilar myndu ákveða hverjir kæmu að málinu fyrir opinbera birtingu.

Hver þátttakandi fær þær upplýsingar sem þarf til að sinna vörnum sínum, allt frá netskrám með vísbendingum um innbrot til viðkvæmari árásarkóða sem sýnir í verki að hægt sé að nýta veikleikann. Jafnvel takmarkaðar upplýsingar geta afhjúpað veikleika. Þess vegna vegum við áhættuna sem fylgir miðlun upplýsinganna á móti þeim öryggisávinningi sem hún getur skilað.

Teymi sem fylgja þessu ferli myndu vinna með umsjónaraðilum að því að gefa varnaraðilum undirbúningstíma. Þau myndu endurskoða tímasetningarnar ef veikleikinn væri nýttur í raunverulegum árásum, upplýsingar um hann lækju út, lagfæringin yrði opinber og afhjúpaði veikleikann eða tafir á úrbótum ykju hættuna fyrir notendur.

Á vef Patch the Planet⁠(opnast í nýjum glugga) eru opinberar tilkynningar og leiðbeiningar teknar saman svo rekstraraðilar geti greint kerfi sem verða fyrir áhrifum, fundið rétta uppfærslu og staðfest að uppfærði hugbúnaðurinn virki rétt. Fyrir PHP vísar vefurinn á opinbera lagfæringu og uppfærsluleiðbeiningar umsjónaraðilanna og tæknilegar rannsóknir samstarfsaðila okkar. Leiðbeiningarnar ná einnig til tímabundinna mótvægisaðgerða, þess hvenær leita skuli til þjónustuveitanda eða sérfræðings, afritunar og endurheimtar. Tímabundnar varnir geta dregið úr áhættu, en við munum skýra takmörk þeirra og hvaða málamiðlanir þarf að gera í rekstri.

Rekstraraðilar geta notað leiðbeiningar CISA um forgangsröðun og úrbætur⁠(opnast í nýjum glugga) til að meta hversu hratt þurfi að bregðast við út frá berskjöldun, nýtingu veikleika og hugsanlegum áhrifum. Það getur kallað á neyðaruppsetningu lagfæringa, tafarlausar mótvægisaðgerðir eða skipulagða uppfærslu, ásamt frumrannsókn á stafrænum ummerkjum þar sem ástæða er til að kanna hvort þegar hafi verið brotist inn í kerfi. Endurmeta ætti forgangsröðun þegar aðstæður breytast og tryggja um leið að skýr áætlun liggi fyrir um varanlegar úrbætur.

Alþjóðleg samhæfing byggist á fólkinu sem heldur hugbúnaðinum við. Mörgum verkefnum er stýrt af litlum teymum sem fara yfir öryggistilkynningar samhliða daglegri þróunarvinnu. Þessi teymi þurfa aðstoð við að greina ný vandamál frá endurteknum tilkynningum, meta áhrif og prófa lagfæringar á öllum studdum útgáfum. Við styðjum þetta starf með fjármögnun, aðgangi að öflugum líkönum og beinni tækniaðstoð.

Öflug gervigreind þróast hratt um allan geirann. Við væntum þess að hún gegni sífellt stærra hlutverki í að hjálpa varnaraðilum að finna veikleika, vakta kerfi og bregðast við ógnum. Við fjárfestum í líkönum, verkfærum og samstarfi til að hjálpa varnaraðilum að nýta þessa getu í verki.

Fjárfestingar okkar ná meðal annars til áskrifta fyrir alla umsjónaraðila í gegnum Codex for OSS og beinna styrkja til verkefna á borð við Rust Foundation⁠(opnast í nýjum glugga) til stuðnings umsjónaraðilum og tæknivinnu. Hvert verkefni ákveður sína eigin forgangsröðun. Endurnýtanleg próf og verkferlar í öryggismálum geta dregið úr vinnunni sem þarf til að bregðast við veikleikum sem finnast síðar. Verkefni sem þróa opinn hugbúnað geta sótt um hjá Patch the Planet⁠(opnast í nýjum glugga) til að fá beina aðstoð.

Við erum einnig að stilla viðbótarflokkara fyrir Daybreak sem hindra notkun til að draga úr hættu á misnotkun. Þetta krefst erfiðra málamiðlana: varnir sem eiga að koma í veg fyrir misnotkun geta einnig hindrað lögmæta öryggisvinnu. Bæði víðtækur aðgangur að öflugum líkönum og skilvirkar varnir gegn misnotkun skipta sköpum. Markmið okkar er að varðveita þá getu sem varnaraðilar þurfa til að finna og laga veikleika, um leið og við takmörkum skaðlega notkun. Við munum áfram fínstilla þetta jafnvægi eftir því sem getunni fleygir fram og við lærum af notkun verkfæranna.

Eftir því sem líkön verða öflugri felast tækifærin ekki aðeins í að finna og laga einstaka veikleika. Við viljum hjálpa hugbúnaðarsérfræðingum að þróa öruggari hugbúnað frá upphafi. Endurbætur á útbreiddum hugbúnaðarhluta geta komið í veg fyrir villur eða takmarkað áhrif þeirra í mörgum vörum og þjónustum.

Gervigreind getur hjálpað hugbúnaðarsérfræðingum að skilja fyrirliggjandi kóða, undirbúa breytingar og þróa próf. Umsjónaraðilar og öryggissérfræðingar sannreyna síðan að breytingarnar varðveiti þá virkni sem notendur reiða sig á. Við sjáum tækifæri á nokkrum sviðum:

• Öruggur kóði frá upphafi. Forritunarlíkön geta hjálpað forriturum að velja öruggari sjálfgefnar stillingar, nota öryggissöfn rétt og greina áhættusöm mynstur meðan þeir skrifa kóða. Með því að koma í veg fyrir veikleika á þróunarstigi fækkar neyðarlagfæringum sem umsjónaraðilar og notendur þurfa að sinna.

• Minnisöruggur hugbúnaður. Með því að færa mikilvæga hugbúnaðarhluta yfir í minnisörugg forritunarmál má útrýma algengum flokkum minnisvillna. Gervigreind getur aðstoðað við slíkan flutning, en prófanir og yfirferð sérfræðinga sannreyna virkni og samhæfni.

• Formleg sannprófun. Stærðfræðilegar sannanir geta sýnt að mikilvægir hugbúnaðarhlutar uppfylli tilgreinda öryggiseiginleika að gefnum ákveðnum forsendum. Með því að beita þessum aðferðum á útbreidda hugbúnaðarhluta mætti útiloka heila flokka veikleika í þjónustu og mikilvægum innviðum sem reiða sig á þá.

• Öflugri einangrun. Kerfi þurfa varnir gegn veikleikum sem hafa ekki enn fundist eða verið lagaðir. Með því að keyra hugbúnað sem vinnur úr ótraustum skrám, myndum eða margmiðlunarefni í strangt afmörkuðum sandkassa má takmarka tjónið ef brotist er inn í hann. Gervigreind getur hjálpað hugbúnaðarsérfræðingum að prófa og styrkja útbreidda sandkassatækni og þannig bætt varnir í mörgum forritum.

Við kynnum nálgun okkar svo umsjónaraðilar, rannsakendur, viðbragðsteymi, þjónustuveitendur og rekstraraðilar geti hjálpað okkur að gera hana raunhæfa í framkvæmd. Við viljum skilja hvar hún gæti gagnast, hvar hún gæti valdið töfum eða auknu álagi og hvað okkur hefur yfirsést. Dæmi um fyrri birtingar upplýsinga um veikleika væru sérstaklega gagnleg.

Við höfum sérstaklega áhuga á eftirfarandi:

• Svigrúm fyrir opinbera birtingu. Hversu mikinn tíma þurfa umsjónaraðilar, rekstraraðilar og varnaraðilar til að undirbúa og setja upp áreiðanlegar lagfæringar? Hvaða gögn ættu að leiða til þess að upplýsingar séu birtar fyrr, sérstaklega þegar hægt er að verja suma notendur fyrr en aðra?

• Neyðaruppsetning lagfæringa. Hvenær, ef nokkurn tíma, ættu stjórnvöld eða aðrir rekstraraðilar að nýta veikleika til að laga kerfi sem þau eiga eða hafa heimild til að stjórna, eftir að hafa misst stjórnandaaðgang? Hvaða öryggisráðstafanir ættu að gilda? Við getum séð fyrir okkur að stöðug leit að þekktum veikleikum um allt internetið verði að lokum að veruleika. Þegar veikleiki finnst yrði eigendum vefsvæðisins annaðhvort gert viðvart eða kerfið lagað.

• Tilkynningar fyrir opinbera birtingu. Hverjir þurfa að fá viðvörun áður en upplýsingarnar eru birtar opinberlega til að grípa til gagnlegra varnaraðgerða, þar á meðal varnaraðilar sem okkur gæti yfirsést? Hvenær er betra að senda tilkynningar í áföngum en að tilkynna stærri hópi í einu, og hvernig eigum við að vega umfang varna á móti hættu á upplýsingaleka?

• Hugbúnaðarpakkar með öruggum sjálfgefnum stillingum. Hvernig getum við hjálpað til við að finna og laga veikleika í afleiddum hugbúnaðarpökkum meðan beðið er eftir lagfæringum í upprunaverkefnum, eða aðlagað lagfæringar þannig að þær virki í eldri útgáfum sem fá ekki lengur öryggisuppfærslur? Hvaða prófanir og viðhald myndu gera þessa pakka að áreiðanlegum valkosti þegar ekki er hægt að uppfæra tímanlega?

Við þiggjum einnig ábendingar um óháða öryggissérfræðinga sem geta farið yfir nálgunina, gagnrýnt forsendur hennar og greint eyður. Ábendingar þínar hjálpa okkur að bæta viðbrögðin og forgangsraða stuðningi. Deildu athugasemdum þínum hér⁠(opnast í nýjum glugga).