Sajrone rong sasi kepungkur, kita mimpin koalisi pangopèn, panliti, lan panyedhiya keamanan kanggo nangani kerentanan kritis ing PHP, basa pamrograman sumber terbuka kanggo nglakokake situs lan aplikasi web. Calif nemokake cacat kritis nganggo GPT‑5.6 Sol minangka pérangan saka inisiatif Patch the Planet(mbukak ing jendhela anyar) kita. Wiz uga nemokake lan nglaporake kerentanan loro mau kanthi mandhiri. Pangopèn PHP mimpin ndandani lan ngrilis perbaikan. Tim kita lan mitra kayata Wiz, Cloudflare, lan liyane nyumbang riset, dhukungan teknis, lan koordinasi kanggo nyiapake pangayoman sadurunge kerentanan diumumake.
Kanggo organisasi sing nganggo PHP, prioritas saiki yaiku ngetrapake perbaikan kasebut. Kita mbagekake piranti pamriksa versi PHP minangka katrampilan Codex(mbukak ing jendhela anyar) kanggo mbantu operator ngenali versi PHP sing bisa rentan lan nemtokake nganyari endi sing perlu, kanthi ngrujuk pandhuan saka PHP lan panyedhiyane.
Amarga cacat iki abot lan PHP dienggo kanthi wiyar, kita nganggep iki minangka salah siji masalah keamanan sing dampake paling gedhe ing sawetara taun pungkasan. Iki nuduhake yen AI bisa nemokake cacat keamanan sing dampake nganti saindenging internet. Nanging, kabisan sing padha uga bisa mbantu panyerang cepet ngembangake piranti serangan lan eksploit.
Sakngertene kita, AI tercanggih nemokake kerentanan iki sadurunge panyerang, saengga mbukak Wektu Kalodhangan kanggo Pambéla supaya pangopèn lan panyedhiya keamanan bisa nyiapake perbaikan lan pangayoman sadurunge diumumake.
Supaya luwih akeh pambéla bisa nggunakake kabisan iki, kita wis nyedhiyakake komitmen subsidi $1 milyar kanggo akses Daybreak liwat Daybreak kanggo Pambéla Garis Ngarep, kanthi fokus marang organisasi sing nglindhungi layanan wigati nanging sumber daya keamanane winates.
Sanajan dampake gedhe, bug iki mung sawetara saka kerentanan serius sing wis kita temokake lan lagi kita dandani. Kita ngira temuan kaya mangkene bakal mundhak banget ing sasi-sasi ngarep. Adhedhasar pengalaman nganti saiki, kita mbagekake usulan pendekatan sing cocog kanggo jaman AI kanggo nanggapi kerentanan kritis ing piranti lunak sing dienggo kanthi wiyar. Kita ngajak komunitas keamanan mbantu nyampurnakake kerangka iki. Pendekatan iki nyawijikake model kita, keahlian keamanan, lan pangopèn supaya temuan bisa dadi pangayoman, sarta mbangun tanggapan sing bisa ditambahi skalane selaras karo majune kabisan AI.
Supaya perbaikan bisa dienggo, bisa uga perlu dicocogake kanggo rilis lawas, disiapake mitigasi dening panyedhiya, lan dianyari sistem ing maneka organisasi. Proses sing bisa dibaleni mbantu tim-tim kasebut tumindak cepet nalika saya akeh kerentanan ditemokake.
Liwat Patch the Planet, kita nyumbang keahlian keamanan lan akses model kanggo ndhukung penanganan PHP, sarta kerja bareng pangopèn lan mitra riset kanggo nguji perbaikan lan nyiapake pandhuan. Kita uga mbantu koordinasi karo panyedhiya infrastruktur kanggo nglindhungi sistem sing kena dampak, lan ngajak lembaga siber pamaréntah supaya pandhuan bisa tekan organisasi wigati. Iki ndhukung tanggapan sing dipimpin pangopèn lan mbantu pambéla liyane siyap-siyap.
Kanggo sawetara temuan, panliti bisa langsung kerja bareng pangopèn piranti lunak kanggo nliti masalah lan ngembangake perbaikan. Temuan liyane mbutuhake tanggapan luwih wiyar amarga mengaruhi akeh produk, utawa amarga distributor lan panyedhiya layanan mbutuhake wektu kanggo nyiapake nganyari lan pangayoman. Wektu iki bisa winates yen kabisan tercanggih ora adoh ngluwihi kabisan sing wis kasedhiya kanggo umum. Ing kahanan kasebut, kerangka sing diusulake bisa mbantu pangopèn nemtokake sapa sing perlu dilibatake lan ngoordinasi pakaryane. Tanggapan iki bisa nyakup limang tahap:
Validasi lan dandani kerentanan ing sumber asale. Pangopèn, panliti, lan mitra teknis utama mesthekake temuan, mbiji dampake, sarta ngembangake lan nguji perbaikan. Proses iki kalebu pangujian kanthi cara panyerang nganggo model tercanggih kanggo nggoleki cara nembus patch lan varian kerentanan sing gegandhengan.
Wenehana wektu organisasi sing kena dampak kanggo tumindak. Kita ngusulake kerangka kanggo nimbang organisasi endi sing butuh informasi luwih dhisik supaya bisa nyiapake pangayoman, dene pangopèn tetep nemtokake sapa sing dilibatake. Kita mbantu ngubungi pihak sing gegandhengan, nggawe prajanjèn enggo bareng informasi, lan ngoordinasi antartim. Distributor bisa nyocogake perbaikan kanggo rilis lawas, panyedhiya hosting bisa nguji mitigasi, lan panyedhiya keamanan bisa nyiapake langkah deteksi utawa pencegahan, kalebu aturan firewall aplikasi web (WAF).
Koordinasi karo mitra pamaréntah kanggo mbantu nglindhungi sistem kritis. Lembaga pamaréntah duwe peran wigati kanggo ngoordinasi tanggapan luwih wiyar lan mbantu pandhuan keamanan tekan organisasi sing tanggung jawab marang infrastruktur kritis lan layanan wigati liyane. Ing kasus PHP, kita kerja bareng para mitra kanggo nglibatake maneka pérangan pamaréntah AS, kalebu Super Intelligence Force ing Gedhung Putih, Kantor Direktur Siber Nasional (ONCD), Badan Keamanan Siber lan Infrastruktur (CISA), uga mitra internasional kanggo ndhukung upaya kasebut.
Siapake nganyari kanggo kabeh produk sing kena dampak. Nalika perbaikan, pandhuan, lan rencana pengumuman wis mateng, pangopèn bisa nglibatake distributor, panyedhiya hosting lan layanan, tim tanggap, sarta operator liyane kanggo nyiapake nganyari lan nangani pérangan sing durung kaayoman.
Sawise patch kasedhiya, terbitake pandhuan lan dhukung penerapane. Pandhuan umum mbantu wong mbiji sepira sisteme rawan, nemokake nganyari resmi utawa mitigasi sauntara, lan mriksa manawa perbaikan wis mlaku. Penanganan terus lumaku nalika operator ngetrapake nganyari lan nglaporake bab sing isih mbutuhake pitulungan.
Kerangka sing diusulake nimbang peran organisasi ing pangayoman, kalebu nglindhungi sistem lan pelanggane dhewe, wektu sing dibutuhake kanggo tumindak, lan kabisane nangani informasi sensitif. Kritéria sing padha bakal ditrapake marang organisasi sing saemper, lan pangopèn nemtokake sapa sing dilibatake sadurunge pengumuman.
Saben peserta nampa informasi sing dibutuhake kanggo nindakake pakaryan pangayoman, saka log jaringan sing ngemot pratandha pembobolan nganti eksploit bukti konsep sing bisa mlaku lan luwih sensitif. Rincian sing winates wae bisa mbukak kerentanan, mula kita nimbang risiko mbagekake informasi kasebut dibandhingake karo pangayoman sing bisa diwujudake.
Tim sing ngetutake kerangka iki bakal kerja bareng pangopèn kanggo menehi wektu pambéla siyap-siyap lan nimbang maneh jadwal yen ana eksploitasi aktif ing lapangan, bocore informasi, patch umum sing mbukak kerentanan, utawa risiko pangguna sing mundhak amarga perbaikan mandheg.
Situs web Patch the Planet(mbukak ing jendhela anyar) nglumpukake pengumuman umum lan pandhuan kanggo mbantu operator ngenali sistem sing kena dampak, nemokake nganyari sing trep, lan mesthekake piranti lunak sing dianyari mlaku kanthi bener. Kanggo PHP, situs iki menehi rujukan menyang patch resmi lan pandhuan upgrade saka pangopèn, sarta riset teknis saka mitra kita. Pandhuan kasebut uga nyakup mitigasi sauntara, kapan perlu nglibatake panyedhiya utawa ahli, sarta serep lan pamulihan. Pangayoman sauntara bisa nyuda risiko, nanging kita bakal njlentrehake watesane lan konsekuensine tumrap operasional.
Operator bisa nganggo pandhuan CISA babagan prioritas lan remediasi(mbukak ing jendhela anyar) kanggo mbiji sepira cepet kudu tumindak adhedhasar karawanan, eksploitasi, lan potensi dampake. Tumindak kasebut bisa arupa masang patch darurat, mitigasi langsung, utawa nganyari sing direncanakake, diiringi triase forensik yen perlu kanggo mbiji apa sistem wis dibobol. Prioritas kudu ditimbang maneh nalika kahanan owah, kanthi langkah sing cetha menyang perbaikan jangka panjang.
Koordinasi global gumantung marang wong-wong sing ngopèni piranti lunak. Akeh proyek dikelola tim cilik sing mriksa laporan keamanan sinambi nindakake pangembangan rutin. Tim-tim kasebut butuh pitulungan kanggo mbedakake masalah anyar saka laporan duplikat, mbiji dampak, lan nguji perbaikan ing kabeh rilis sing didhukung. Kita ndhukung pakaryan kasebut kanthi pendanaan, akses menyang model sing mumpuni, lan pitulungan rekayasa langsung.
Kabisan AI sing kuwat terus maju ing saindenging industri, lan kita ngira peran AI bakal saya gedhe kanggo mbantu pambéla nemokake kerentanan, ngawasi sistem, lan nanggapi ancaman. Kita nandur modal ing model, piranti, lan kemitraan kanggo mbantu pambéla nggunakake kabisan kasebut.
Investasi kita kalebu langganan kanggo kabeh pangopèn liwat Codex for OSS lan sponsor langsung kanggo proyek kayata Rust Foundation(mbukak ing jendhela anyar) kanggo ndhukung pangopèn lan pakaryan teknis. Saben proyek nemtokake prioritase dhewe. Tes lan alur kerja keamanan sing bisa dienggo maneh bisa nyuda upaya sing dibutuhake kanggo nangani temuan sabanjure. Proyek sumber terbuka bisa ndhaptar menyang Patch the Planet(mbukak ing jendhela anyar) kanggo njaluk dhukungan langsung.
Kita uga lagi nyetel pangklasifikasi pamblokiran tambahan kanggo Daybreak supaya bisa nyuda potensi penyalahgunaan. Iki mbutuhake tetimbangan sing angel: pangaman kanggo nyegah penyalahgunaan uga bisa ngalangi pakaryan keamanan sing sah. Akses wiyar menyang model sing mumpuni lan pangayoman efektif saka penyalahgunaan padha-padha wigati. Tujuan kita yaiku njaga kabisan sing dibutuhake pambéla kanggo nemokake lan ndandani kerentanan, sinambi matesi panggunaan sing mbebayani. Kita bakal terus nyampurnakake keseimbangan kasebut nalika kabisan maju lan kita sinau saka carane piranti iki dienggo.
Nalika model saya mumpuni, kalodhangan sing ana ora mung winates ing nemokake lan ndandani kerentanan siji-siji. Kita kepengin mbantu para insinyur mbangun piranti lunak sing luwih aman wiwit wiwitan. Perbaikan komponen sing dienggo kanthi wiyar bisa nyegah bug utawa matesi dampake ing akeh produk lan layanan.
AI bisa mbantu insinyur mangerteni kode sing wis ana, nyiapake owah-owahan, lan ngembangake tes, dene pangopèn lan ahli keamanan mesthekake owah-owahan kasebut tetep njaga cara kerja sing diandelake pangguna. Kita weruh kalodhangan ing sawetara babagan:
Kode sing aman wiwit wiwitan. Model pamrograman bisa mbantu pangembang milih setelan gawan sing luwih aman, nggunakake pustaka keamanan kanthi bener, lan ngenali pola beboyo nalika nulis kode. Nyegah kerentanan sajrone pangembangan tegese nyuda perbaikan darurat sing kudu ditindakake pangopèn lan pangguna.
Piranti lunak kanthi panggunaan memori sing aman. Mindhah komponen kritis menyang basa sing njamin keamanan memori bisa ngilangi golongan kesalahan memori sing umum. AI bisa mbantu migrasi, kanthi tes lan pamriksan ahli kanggo mriksa cara kerja lan kompatibilitas.
Verifikasi formal. Bukti matématis bisa nuduhake manawa komponen kritis nyukupi sipat keamanan sing ditemtokake adhedhasar asumsi sing wis diandharake. Ngetrapake metode iki ing komponen sing dienggo kanthi wiyar bisa mbantu ngilangi golongan kerentanan ing layanan lan infrastruktur kritis sing gumantung marang komponen kasebut.
Isolasi sing luwih kuwat. Sistem butuh pangayoman saka kerentanan sing durung ditemokake utawa didandani. Nglakokake piranti lunak sing ngolah file, gambar, utawa media sing ora dipercaya ing sandbox kanthi watesan ketat bisa matesi karusakan yen piranti lunak kasebut dibobol. AI bisa mbantu insinyur nguji lan nguwatake teknologi sandbox sing dienggo kanthi wiyar, saengga nambah pangayoman ing akeh aplikasi.
Kita mbagekake pendekatan iki supaya pangopèn, panliti, tim tanggap, panyedhiya, lan operator bisa mbantu supaya pendekatan iki bisa ditindakake kanthi apik. Kita kepengin ngerti ing babagan endi pendekatan iki migunani, ing endi bisa nambah wektu tundha utawa beban, lan apa sing durung kita gatekake. Tuladha saka pengumuman kerentanan sadurunge bakal migunani banget.
Kita utamane kepengin mangerteni:
Jangka wektu sadurunge pengumuman. Pira suwene wektu sing dibutuhake pangopèn, operator, lan pambéla kanggo nyiapake lan ngetrapake perbaikan sing bisa diandelake? Bukti apa sing kudune dadi dhasar kanggo ngumumake luwih awal, utamane yen sawetara pangguna bisa dilindhungi luwih dhisik tinimbang liyane?
Masang patch darurat. Apa ana kahanan sing mbenerake pamaréntah utawa operator liyane nggunakake kerentanan kanggo masang patch ing sistem duweke utawa sing sah dikelola, sawise kelangan akses administratif? Yen ana, kapan? Pangaman apa sing kudu ditrapake? Kita bisa mbayangake kahanan ing tembe nalika pamindaian kerentanan sing wis dikenal lumaku tanpa kendhat ing saindenging internet, banjur menehi kabar marang pamilik situs yen ana sing dideteksi utawa masang patch ing sisteme.
Kabar luwih awal. Sapa sing butuh pepéling luwih dhisik supaya bisa nindakake pangayoman sing migunani, kalebu pambéla sing bisa uga durung kita gatekake? Kapan kabar kanthi bertahap luwih efektif tinimbang menehi kabar marang klompok luwih gedhe bebarengan, lan kepiye kita kudu nimbang jangkauan pangayoman dibandhingake karo risiko bocore informasi?
Paket piranti lunak sing aman kanthi setelan gawan. Kepiye kita bisa mbantu ngenali lan ndandani kerentanan ing paket turunan nalika perbaikan saka sumber asale durung rampung, utawa ngetrapake perbaikan menyang versi lawas sing wis ora nampa nganyari keamanan? Pangujian lan pangopènan apa sing bisa ndadekake paket iki pilihan sing bisa diandelake nalika upgrade pas wektune ora bisa ditindakake?
Kita uga nampa rekomendasi ahli keamanan mandhiri sing bisa nliti pendekatan iki, nguji asumsi-asumsine, lan ngenali kekurangane. Pamrayoga sampeyan bakal mbantu kita nyampurnakake tanggapan lan nemtokake prioritas dhukungan. Aturake pamrayoga sampeyan ing kene(mbukak ing jendhela anyar).
