Negli ultimi due mesi abbiamo guidato una coalizione di maintainer, ricercatori e fornitori di sicurezza per risolvere vulnerabilità critiche in PHP, un linguaggio di programmazione open source usato per siti e applicazioni web. Calif ha individuato una falla critica usando GPT‑5.6 Sol nell’ambito della nostra iniziativa Patch the Planet(si apre in una nuova finestra). Anche Wiz ha scoperto e segnalato entrambe le vulnerabilità in modo indipendente. I maintainer di PHP hanno guidato lo sviluppo e il rilascio delle correzioni. I nostri team e partner come Wiz, Cloudflare e altri hanno contribuito con ricerca, supporto tecnico e coordinamento per predisporre protezioni prima della divulgazione.
Per le organizzazioni che usano PHP, la priorità ora è applicare le correzioni. Mettiamo a disposizione uno strumento di verifica della versione di PHP come skill di Codex(si apre in una nuova finestra) per aiutare gli operatori a individuare le versioni potenzialmente vulnerabili e, seguendo anche le indicazioni di PHP e dei propri fornitori, stabilire quali aggiornamenti applicare.
Data la gravità di queste falle e l’ampia diffusione di PHP, lo riteniamo uno dei problemi di sicurezza di maggiore impatto degli ultimi anni. Questo caso mostra come l’IA possa scoprire falle di sicurezza con ripercussioni su scala globale, ma le stesse capacità possono anche aiutare gli attaccanti a sviluppare rapidamente strumenti offensivi ed exploit.
Per quanto ne sappiamo, l’IA di frontiera ha scoperto queste vulnerabilità prima degli attaccanti, aprendo una finestra di vantaggio per i difensori, che ha permesso a maintainer e fornitori di sicurezza di preparare correzioni e protezioni prima della divulgazione.
Per aiutare più difensori a usare queste capacità, abbiamo stanziato 1 miliardo di dollari per l’accesso agevolato a Daybreak tramite Daybreak for Frontline Defenders, rivolto alle organizzazioni che proteggono servizi essenziali con risorse di sicurezza limitate.
Per quanto gravi, questi bug sono solo alcune delle importanti vulnerabilità che abbiamo già scoperto e stiamo lavorando a correggere. Ci aspettiamo un forte aumento di scoperte simili nei prossimi mesi. Sulla base dell’esperienza maturata finora, proponiamo un approccio adatto all’era dell’IA per rispondere alle vulnerabilità critiche nei software più diffusi e chiediamo alla comunità della sicurezza di contribuire a migliorarlo. Questo approccio unisce i nostri modelli, le competenze di sicurezza e i maintainer per trasformare le scoperte in protezioni e costruire una risposta in grado di crescere con l’avanzare delle capacità dell’IA.
Rendere operativa una correzione può richiedere di adattarla a versioni precedenti, predisporre misure di mitigazione con i fornitori e aggiornare i sistemi di molte organizzazioni. Un processo ripetibile aiuta questi team ad agire rapidamente man mano che vengono scoperte nuove vulnerabilità.
Tramite Patch the Planet, abbiamo fornito competenze di sicurezza e accesso ai modelli per sostenere la risposta di PHP, collaborando con maintainer e partner di ricerca per testare le correzioni e preparare linee guida. Abbiamo anche contribuito al coordinamento con i fornitori di infrastrutture sulle protezioni per i sistemi interessati e coinvolto le agenzie governative di cybersicurezza per far arrivare le linee guida alle organizzazioni critiche. Questo ha sostenuto la risposta guidata dai maintainer e aiutato altri difensori a prepararsi.
Per alcune scoperte, i ricercatori possono collaborare direttamente con i maintainer del software per indagare sul problema e sviluppare una correzione. Altre richiedono una risposta più ampia perché interessano molti prodotti o perché distributori e fornitori di servizi hanno bisogno di tempo per preparare aggiornamenti e protezioni. Il tempo può però scarseggiare se le capacità di frontiera non sono molto più avanzate di quelle ampiamente disponibili. In questi casi, il quadro proposto può aiutare i maintainer a individuare chi coinvolgere e a coordinare il lavoro. La risposta può articolarsi in cinque fasi:
Verificare e correggere la vulnerabilità nel progetto di origine. Il maintainer, i ricercatori e i partner tecnici essenziali confermano la scoperta, ne valutano l’impatto e sviluppano e testano una correzione. Il processo include test avversariali con modelli di frontiera per cercare modi di aggirare la patch e varianti correlate della vulnerabilità.
Dare alle organizzazioni interessate il tempo di agire. Proponiamo un quadro per valutare quali organizzazioni necessitano di informazioni anticipate per preparare le protezioni, lasciando ai maintainer la decisione su chi coinvolgere. Offriamo aiuto nei contatti, negli accordi di condivisione delle informazioni e nel coordinamento tra team. Un distributore potrebbe adattare una correzione a una versione precedente, un fornitore di hosting testare una mitigazione e un fornitore di sicurezza preparare misure di rilevamento o prevenzione, incluse regole per i firewall per applicazioni web (WAF).
Coordinarsi con i partner governativi per contribuire a proteggere i sistemi critici. Le agenzie governative hanno un ruolo essenziale nel coordinare una risposta più ampia e nel far arrivare le indicazioni di sicurezza alle organizzazioni responsabili di infrastrutture critiche e altri servizi essenziali. Nel caso di PHP, insieme ai nostri partner abbiamo coinvolto diversi organismi del governo statunitense, tra cui la Super Intelligence Force della Casa Bianca, l’Office of the National Cyber Director (ONCD) e la Cybersecurity and Infrastructure Security Agency (CISA), oltre a partner internazionali, per sostenere questo lavoro.
Preparare gli aggiornamenti per i prodotti interessati. Man mano che la correzione, le linee guida e i piani di divulgazione si consolidano, i maintainer possono coinvolgere altri distributori, fornitori di hosting e servizi, team di risposta e operatori per preparare gli aggiornamenti e colmare le lacune nella copertura.
Quando la patch è disponibile, pubblicare le linee guida e sostenerne l’adozione. Le linee guida pubbliche aiutano a valutare la propria esposizione, trovare aggiornamenti da fonti autorevoli o mitigazioni provvisorie e verificare che la correzione sia attiva. La risposta prosegue mentre gli operatori applicano gli aggiornamenti e segnalano dove hanno bisogno di aiuto.
Il quadro proposto considera il ruolo protettivo di un’organizzazione, inclusa la tutela dei propri sistemi e clienti, il tempo necessario per agire e la sua capacità di gestire informazioni sensibili. Gli stessi criteri si applicherebbero a organizzazioni comparabili, lasciando ai maintainer la decisione su chi coinvolgere prima della divulgazione.
Ogni partecipante riceve le informazioni necessarie a svolgere il proprio lavoro di protezione, dai log di rete con indicatori di compromissione fino a informazioni più sensibili, come exploit dimostrativi funzionanti. Anche pochi dettagli possono rivelare una vulnerabilità: valutiamo quindi il rischio di condividerli rispetto alla protezione che consentono di offrire.
I team che seguono questo quadro collaborerebbero con i maintainer per dare ai difensori il tempo di prepararsi, rivedendo le tempistiche in caso di sfruttamento attivo in attacchi reali, fughe di informazioni, patch pubbliche che rivelino la falla o maggiori rischi per gli utenti dovuti a interventi bloccati.
Il sito di Patch the Planet(si apre in una nuova finestra) raccoglie comunicazioni pubbliche e linee guida per aiutare gli operatori a individuare i sistemi interessati, trovare l’aggiornamento giusto e verificare che il software aggiornato funzioni correttamente. Per PHP, rimanda alla patch e alle istruzioni ufficiali di aggiornamento dei maintainer e alle ricerche tecniche dei nostri partner. Le linee guida trattano anche le mitigazioni provvisorie, quando coinvolgere un fornitore o un esperto, nonché backup e ripristino. Le protezioni provvisorie possono ridurre il rischio, ma ne chiariremo i limiti e i compromessi operativi.
Gli operatori possono usare le linee guida della CISA su priorità e interventi correttivi(si apre in una nuova finestra) per valutare quanto rapidamente agire in base a esposizione, sfruttamento e potenziale impatto. Questo può richiedere patch d’emergenza, mitigazioni immediate o aggiornamenti pianificati, insieme a un’analisi forense preliminare, quando opportuna, per valutare se i sistemi siano già stati compromessi. Le priorità vanno rivalutate al mutare delle condizioni, mantenendo un percorso chiaro verso una soluzione duratura.
Il coordinamento globale dipende dalle persone che si occupano della manutenzione del software. Molti progetti sono gestiti da piccoli team che esaminano le segnalazioni di sicurezza parallelamente alle normali attività di sviluppo. Questi team hanno bisogno di aiuto per distinguere i nuovi problemi dai duplicati, valutare l’impatto e testare le correzioni sulle versioni supportate. Sosteniamo questo lavoro con finanziamenti, accesso a modelli avanzati e assistenza tecnica diretta.
In tutto il settore si stanno sviluppando capacità di IA sempre più potenti e ci aspettiamo che l’IA svolga un ruolo crescente nell’aiutare i difensori a trovare vulnerabilità, monitorare i sistemi e rispondere alle minacce. Investiamo in modelli, strumenti e partnership per aiutare i difensori a mettere a frutto queste capacità.
I nostri investimenti includono abbonamenti per tutti i maintainer tramite Codex for OSS e la sponsorizzazione diretta di progetti come la Rust Foundation(si apre in una nuova finestra), a sostegno dei maintainer e del lavoro tecnico. Ogni progetto stabilisce le proprie priorità. Test e flussi di lavoro di sicurezza riutilizzabili possono ridurre l’impegno necessario per gestire le scoperte future. I progetti open source possono candidarsi a Patch the Planet(si apre in una nuova finestra) per ricevere supporto operativo.
Stiamo anche calibrando ulteriori classificatori di blocco per Daybreak, per contribuire a ridurre il potenziale di uso improprio. Questo comporta compromessi difficili: le misure pensate per prevenire gli abusi possono bloccare anche attività di sicurezza legittime. Sono essenziali sia un ampio accesso a modelli avanzati sia protezioni efficaci contro l’uso improprio. Il nostro obiettivo è preservare le capacità di cui i difensori hanno bisogno per trovare e correggere le vulnerabilità, limitando al contempo gli usi dannosi. Continueremo ad affinare questo equilibrio con l’avanzare delle capacità e sulla base di ciò che impareremo dall’uso di questi strumenti.
Con l’aumentare delle capacità dei modelli, le opportunità vanno oltre l’individuazione e la correzione di singole vulnerabilità. Vogliamo aiutare gli ingegneri a creare software più sicuro fin dall’inizio. Migliorare un componente molto diffuso può prevenire bug o limitarne l’impatto su numerosi prodotti e servizi.
L’IA può aiutare gli ingegneri a comprendere il codice esistente, preparare modifiche e sviluppare test, mentre maintainer ed esperti di sicurezza verificano che le modifiche preservino il comportamento su cui gli utenti fanno affidamento. Vediamo opportunità in diversi ambiti:
Codice sicuro fin dall’inizio. I modelli per la programmazione possono aiutare gli sviluppatori a scegliere impostazioni predefinite più sicure, usare correttamente le librerie di sicurezza e individuare schemi rischiosi mentre scrivono codice. Prevenire le vulnerabilità durante lo sviluppo significa meno correzioni d’emergenza per maintainer e utenti.
Software con gestione sicura della memoria. Migrare i componenti critici a linguaggi con gestione sicura della memoria può eliminare categorie comuni di errori di memoria. L’IA può aiutare nelle migrazioni, affiancata da test e revisioni di esperti per verificare comportamento e compatibilità.
Verifica formale. Le dimostrazioni matematiche possono provare che i componenti critici soddisfano determinate proprietà di sicurezza, date le ipotesi dichiarate. Applicare questi metodi a componenti molto diffusi potrebbe aiutare a escludere intere categorie di vulnerabilità nei servizi e nelle infrastrutture critiche che dipendono da essi.
Isolamento più robusto. I sistemi devono essere protetti anche dalle vulnerabilità non ancora scoperte o corrette. Eseguire il software che elabora file, immagini o contenuti multimediali non attendibili in sandbox con restrizioni rigorose può limitare i danni in caso di compromissione. L’IA può aiutare gli ingegneri a testare e rafforzare le tecnologie di sandboxing più diffuse, migliorando le protezioni di molte applicazioni.
Condividiamo il nostro approccio affinché maintainer, ricercatori, team di risposta, fornitori e operatori possano contribuire a renderlo attuabile. Vogliamo capire dove sarebbe utile, dove potrebbe aggiungere ritardi o oneri e cosa abbiamo trascurato. Gli esempi tratti da divulgazioni passate sarebbero particolarmente utili.
Ci interessano in particolare:
Tempistiche di divulgazione. Di quanto tempo hanno bisogno maintainer, operatori e difensori per preparare e applicare correzioni affidabili? Quali evidenze dovrebbero indurre ad anticipare la divulgazione, soprattutto quando alcuni utenti possono essere protetti prima di altri?
Applicazione di patch d’emergenza. In quali casi, se mai, governi o altri operatori dovrebbero sfruttare una vulnerabilità per applicare patch a sistemi di loro proprietà o che sono autorizzati a gestire, dopo aver perso l’accesso amministrativo? Quali misure di tutela andrebbero adottate? Possiamo immaginare uno scenario futuro in cui l’intera rete Internet venga sottoposta a scansioni continue alla ricerca di vulnerabilità note e, quando ne viene rilevata una, i proprietari dei siti vengano avvisati o venga applicata una patch al sistema.
Preavviso. Chi ha bisogno di essere avvisato in anticipo per intraprendere un’azione protettiva utile, inclusi i difensori che potremmo non aver considerato? Quando funzionano meglio le notifiche scaglionate rispetto all’avviso simultaneo a un gruppo più ampio, e come dovremmo bilanciare la copertura con il rischio di fughe di informazioni?
Pacchetti software sicuri per impostazione predefinita. Come possiamo aiutare a individuare e correggere vulnerabilità nei pacchetti derivati in attesa delle correzioni nei progetti di origine, o adattare le correzioni a versioni precedenti che non ricevono più aggiornamenti di sicurezza? Quali test e attività di manutenzione renderebbero questi pacchetti alternative affidabili quando non è possibile aggiornare tempestivamente?
Accogliamo anche segnalazioni di esperti di sicurezza indipendenti che possano esaminare l’approccio, metterne in discussione i presupposti e individuare lacune. Il vostro contributo ci aiuterà ad affinare la risposta e a stabilire le priorità del supporto. Condividete qui il vostro feedback(si apre in una nuova finestra).
