Patch the Planet: გლობალური რეაგირება აგენტების მიერ აღმოჩენილ კრიტიკულ მოწყვლადობებზე
ბოლო ორი თვის განმავლობაში ვხელმძღვანელობდით მხარდამჭერი გუნდების, მკვლევრებისა და უსაფრთხოების პროვაიდერების კოალიციას PHP-ს კრიტიკული მოწყვლადობების აღმოსაფხვრელად. PHP ღია კოდის პროგრამირების ენაა, რომლითაც ვებსაიტები და ვებაპლიკაციები მუშაობს. ჩვენი ინიციატივის, Patch the Planet(იხსნება ახალ ფანჯარაში)-ის, ფარგლებში Calif-მა GPT‑5.6 Sol-ით კრიტიკული ხარვეზი აღმოაჩინა. ორივე მოწყვლადობა დამოუკიდებლად Wiz-მაც აღმოაჩინა და შეატყობინა შესაბამის გუნდებს. შესწორებების მომზადებასა და გამოშვებას PHP-ს მხარდამჭერი გუნდები ხელმძღვანელობდნენ. ჩვენი გუნდები და პარტნიორები, მათ შორის Wiz და Cloudflare, კვლევით, ტექნიკური დახმარებითა და კოორდინაციით ხელს უწყობდნენ დაცვის ზომების მომზადებას ინფორმაციის გასაჯაროებამდე.
PHP-ს მომხმარებელი ორგანიზაციებისთვის ახლა პრიორიტეტი შესწორებების დანერგვაა. ვაზიარებთ PHP-ს ვერსიის შემმოწმებელს Codex-ის უნარის სახით(იხსნება ახალ ფანჯარაში) — ის ოპერატორებს დაეხმარება პოტენციურად მოწყვლადი ვერსიების გამოვლენასა და, PHP-სა და პროვაიდერების მითითებებთან ერთად, საჭირო განახლებების განსაზღვრაში.
ხარვეზების სიმძიმისა და PHP-ს ფართო გამოყენების გამო, ეს ბოლო წლების უსაფრთხოების ერთ-ერთ ყველაზე მასშტაბურ პრობლემად მიგვაჩნია. ეს აჩვენებს, როგორ შეუძლია AI-ს ინტერნეტის მასშტაბით გავლენის მქონე უსაფრთხოების ხარვეზების აღმოჩენა. თუმცა იმავე შესაძლებლობებით თავდამსხმელებსაც შეუძლიათ სწრაფად შექმნან შეტევის ინსტრუმენტები და ექსპლოიტები.
ჩვენი ინფორმაციით, მოწინავე AI-მ ეს მოწყვლადობები თავდამსხმელებზე ადრე აღმოაჩინა და დამცველებს დროის ფანჯარა გაუხსნა: მხარდამჭერ გუნდებსა და უსაფრთხოების პროვაიდერებს გასაჯაროებამდე შესწორებებისა და დაცვის ზომების მომზადების საშუალება მიეცათ.
ეს შესაძლებლობები მეტმა დამცველმა რომ გამოიყენოს, ჩვენ გამოვყავით 1 მილიარდი დოლარი Daybreak-ზე სუბსიდირებული წვდომისთვის Daybreak for Frontline Defenders-ის მეშვეობით, რომელიც ფოკუსირებულია იმ ორგანიზაციებზე, რომლებსაც შეზღუდული უსაფრთხოების რესურსები აქვთ აუცილებელი სერვისების დასაცავად.
მთელი მათი სიმძიმის მიუხედავად, ეს ხარვეზები მხოლოდ ნაწილია იმ მნიშვნელოვანი მოწყვლადობებისა, რომლებიც უკვე აღმოვაჩინეთ და რომელთა გამოსწორებაზეც ვმუშაობთ. მომდევნო თვეებში მსგავსი აღმოჩენების მკვეთრ ზრდას ველით. დაგროვილი გამოცდილებით გთავაზობთ AI-ს ეპოქისთვის შესაფერის მიდგომას ფართოდ გავრცელებული პროგრამების კრიტიკულ მოწყვლადობებზე რეაგირებისთვის და უსაფრთხოების სფეროს წარმომადგენლებს ამ ჩარჩოს გაუმჯობესებაში დახმარებას ვთხოვთ. ის აერთიანებს ჩვენს მოდელებს, უსაფრთხოების ცოდნასა და მხარდამჭერ გუნდებს, რათა აღმოჩენები დაცვად იქცეს, ხოლო რეაგირების მასშტაბი AI-ს შესაძლებლობებთან ერთად გაიზარდოს.
შესწორების დანერგვას შეიძლება დასჭირდეს მისი ძველ ვერსიებზე მორგება, პროვაიდერების მიერ რისკის შემცირების ზომების მომზადება და მრავალი ორგანიზაციის სისტემების განახლება. განმეორებადი პროცესი გუნდებს სწრაფ მოქმედებაში ეხმარება, როცა სულ უფრო მეტი მოწყვლადობა ვლინდება.
Patch the Planet-ის ფარგლებში PHP-ზე რეაგირებას უსაფრთხოების ცოდნითა და მოდელებზე წვდომით შევუწყვეთ ხელი. მხარდამჭერ გუნდებსა და კვლევით პარტნიორებთან ერთად შესწორებებს ვტესტავდით და მითითებებს ვამზადებდით. ასევე ვეხმარებოდით ინფრასტრუქტურის პროვაიდერებთან კოორდინაციას დაზარალებული სისტემების დასაცავად და ვრთავდით სახელმწიფო კიბერუსაფრთხოების უწყებებს, რათა მითითებებს კრიტიკულ ორგანიზაციებამდე მიეღწია. ამან გააძლიერა მხარდამჭერი გუნდების მიერ მართული რეაგირება და სხვა დამცველებს მომზადებაში დაეხმარა.
ზოგიერთი აღმოჩენის შემთხვევაში მკვლევრებს შეუძლიათ უშუალოდ პროგრამის მხარდამჭერ გუნდთან გამოიკვლიონ პრობლემა და მოამზადონ შესწორება. სხვა შემთხვევებს ფართო რეაგირება სჭირდება: ისინი მრავალ პროდუქტს ეხება, ან დისტრიბუტორებსა და სერვისის პროვაიდერებს განახლებებისა და დაცვის მოსამზადებლად დრო სჭირდებათ. ეს დრო შეიძლება მცირე იყოს, თუ მოწინავე შესაძლებლობები ფართოდ ხელმისაწვდომს დიდად არ უსწრებს. ასეთ დროს შემოთავაზებული ჩარჩო მხარდამჭერ გუნდებს მონაწილეთა განსაზღვრასა და სამუშაოს კოორდინაციაში დაეხმარება. რეაგირება შეიძლება ხუთ ეტაპს მოიცავდეს:
მოწყვლადობის დადასტურება და გამოსწორება საწყის პროექტში. მხარდამჭერი გუნდი, მკვლევრები და ძირითადი ტექნიკური პარტნიორები ადასტურებენ აღმოჩენას, აფასებენ მის გავლენას, ამზადებენ და ტესტავენ შესწორებას. პროცესი მოიცავს მოწინავე მოდელებით შეტევების სიმულირებას, რათა გამოავლინონ პატჩის გვერდის ავლის გზები და მოწყვლადობის მონათესავე ვარიანტები.
მოწყვლადობით დაზარალებული ორგანიზაციებისთვის მოქმედების დროის მიცემა. გთავაზობთ ჩარჩოს იმის შესაფასებლად, თუ რომელ ორგანიზაციებს სჭირდებათ წინასწარი ინფორმაცია დაცვის მოსამზადებლად. მონაწილეებს მხარდამჭერი გუნდები არჩევენ. ვეხმარებით მათთან დაკავშირებაში, ინფორმაციის გაზიარების შეთანხმებებსა და გუნდებს შორის კოორდინაციაში. დისტრიბუტორმა შეიძლება შესწორება ძველ ვერსიას მოარგოს, ჰოსტინგის პროვაიდერმა — რისკის შემცირების ზომა გამოცადოს, უსაფრთხოების პროვაიდერმა კი აღმოჩენის ან პრევენციის ზომები მოამზადოს, მათ შორის ვებაპლიკაციის ფაიერვოლის (WAF) წესები.
სახელმწიფო პარტნიორებთან კოორდინაცია კრიტიკული სისტემების დასაცავად. სახელმწიფო უწყებები მნიშვნელოვან როლს ასრულებენ ფართო რეაგირების კოორდინაციასა და უსაფრთხოების მითითებების მიწოდებაში კრიტიკული ინფრასტრუქტურისა და სხვა უმნიშვნელოვანესი სერვისების პასუხისმგებელი ორგანიზაციებისთვის. PHP-ს შემთხვევაში პარტნიორებთან ერთად ვმუშაობდით აშშ-ის რამდენიმე სახელმწიფო სტრუქტურის ჩართვაზე, მათ შორის თეთრი სახლის სუპერინტელექტის ჯგუფის, კიბერუსაფრთხოების ეროვნული დირექტორის ოფისის (ONCD) და კიბერუსაფრთხოებისა და ინფრასტრუქტურის უსაფრთხოების სააგენტოს (CISA). ამ საქმეში საერთაშორისო პარტნიორებსაც ვრთავდით.
განახლებების მომზადება ყველა დაზარალებული პროდუქტისთვის. შესწორების, მითითებებისა და გასაჯაროების გეგმების ჩამოყალიბებასთან ერთად მხარდამჭერ გუნდებს შეუძლიათ ჩართონ დამატებითი დისტრიბუტორები, ჰოსტინგისა და სერვისის პროვაიდერები, რეაგირების გუნდები და ოპერატორები — განახლებების მოსამზადებლად და დაუცველი სფეროების დასაფარად.
პატჩის გამოშვების შემდეგ მითითებების გამოქვეყნება და დანერგვის მხარდაჭერა. საჯარო მითითებები მომხმარებლებს ეხმარება, შეაფასონ საკუთარი რისკი, იპოვონ სანდო განახლებები ან დროებითი ზომები და შეამოწმონ, ამოქმედდა თუ არა შესწორება. რეაგირება გრძელდება: ოპერატორები განახლებებს ნერგავენ და გვატყობინებენ, სად სჭირდებათ დახმარება.
შემოთავაზებული ჩარჩო ითვალისწინებს ორგანიზაციის დამცველ როლს, მათ შორის, საკუთარი სისტემებისა და მომხმარებლების დაცვას, მოქმედებისთვის საჭირო დროსა და სენსიტიური ინფორმაციის უსაფრთხოდ დამუშავების უნარს. მსგავს ორგანიზაციებზე ერთნაირი კრიტერიუმები გავრცელდება, გასაჯაროებამდე მონაწილეებს კი მხარდამჭერი გუნდები შეარჩევენ.
თითოეული მონაწილე იღებს დაცვისთვის საჭირო ინფორმაციას — ქსელის ჟურნალებიდან, რომლებიც შეღწევის ინდიკატორებს შეიცავს, უფრო სენსიტიურ, მოქმედ სადემონსტრაციო ექსპლოიტებამდე. მწირმა დეტალებმაც შეიძლება მოწყვლადობა გამოააშკარაოს, ამიტომ გაზიარების რისკს მიღებულ დამცავ სარგებელს ვადარებთ.
ამ ჩარჩოთი მომუშავე გუნდები მხარდამჭერებთან ერთად დამცველებს მოსამზადებელ დროს მისცემენ და ვადებს გადახედავენ, თუ დაიწყება რეალური შეტევები, გაჟონავს ინფორმაცია, საჯარო პატჩი მოწყვლადობას გამოააშკარავებს ან შეფერხებული გამოსწორება მომხმარებელთა რისკს გაზრდის.
Patch the Planet-ის ვებსაიტი(იხსნება ახალ ფანჯარაში) აერთიანებს საჯარო ცნობებსა და მითითებებს, რათა ოპერატორებმა მოწყვლადი სისტემები გამოავლინონ, შესაბამისი განახლება იპოვონ და განახლებული პროგრამის გამართული მუშაობა შეამოწმონ. PHP-სთვის იქ მოცემულია მხარდამჭერი გუნდების ოფიციალური პატჩისა და განახლების ინსტრუქციების, ასევე პარტნიორთა ტექნიკური კვლევების ბმულები. მითითებები მოიცავს დროებით ზომებს, პროვაიდერის ან ექსპერტის ჩართვის საჭიროებას, სარეზერვო ასლების შექმნასა და აღდგენასაც. დროებით დაცვას რისკის შემცირება შეუძლია, თუმცა მკაფიოდ ავხსნით მის შეზღუდვებსა და ოპერაციულ კომპრომისებს.
ოპერატორებს შეუძლიათ გამოიყენონ CISA-ს მითითებები პრიორიტეტებისა და გამოსწორების შესახებ(იხსნება ახალ ფანჯარაში), რათა საფრთხის ზემოქმედების, ექსპლუატაციისა და შესაძლო გავლენის მიხედვით შეაფასონ მოქმედების გადაუდებლობა. შეიძლება საჭირო გახდეს გადაუდებელი პატჩი, რისკის დაუყოვნებლივ შემცირება ან გეგმური განახლება. საჭიროებისამებრ უნდა ჩატარდეს ციფრული ექსპერტიზის პირველადი შეფასებაც იმის დასადგენად, უკვე ხომ არ მოხდა სისტემებში შეღწევა. პირობების ცვლილებასთან ერთად პრიორიტეტები უნდა გადაიხედოს, პრობლემის საბოლოოდ აღმოფხვრის მკაფიო გეგმით.
გლობალური კოორდინაცია დამოკიდებულია ადამიანებზე, რომლებიც პროგრამულ უზრუნველყოფას უვლიან. ბევრ პროექტს მცირე გუნდები მართავენ, რომლებიც უსაფრთხოების ანგარიშებს ყოველდღიური დეველოპერული საქმიანობის პარალელურად განიხილავენ. ამ გუნდებს დახმარება სჭირდებათ ახალი პრობლემების დუბლიკატებისგან გარჩევაში, გავლენის შეფასებასა და შესწორებების ყველა მხარდაჭერილ ვერსიაზე გამოცდაში. ამ სამუშაოს დაფინანსებით, მძლავრ მოდელებზე წვდომითა და უშუალო საინჟინრო დახმარებით ვუჭერთ მხარს.
AI-ს მძლავრი შესაძლებლობები მთელ ინდუსტრიაში ვითარდება. ველით, რომ AI სულ უფრო მეტად დაეხმარება დამცველებს მოწყვლადობების აღმოჩენაში, სისტემების მონიტორინგსა და საფრთხეებზე რეაგირებაში. ინვესტიციებს ვდებთ მოდელებში, ინსტრუმენტებსა და პარტნიორობებში, რათა დამცველებმა ეს შესაძლებლობები პრაქტიკაში გამოიყენონ.
ჩვენი ინვესტიციები მოიცავს გამოწერებს ყველა მხარდამჭერი გუნდისთვის პროგრამით Codex ღია კოდის პროგრამებისთვის და ისეთი პროექტების პირდაპირ დაფინანსებას, როგორიცაა Rust Foundation(იხსნება ახალ ფანჯარაში) — მხარდამჭერი გუნდებისა და ტექნიკური სამუშაოებისთვის. თითოეული პროექტი პრიორიტეტებს თავად განსაზღვრავს. მრავალჯერადი ტესტები და უსაფრთხოების სამუშაო პროცესები მომავალი აღმოჩენების დასამუშავებლად საჭირო ძალისხმევას ამცირებს. ღია კოდის პროექტებს პრაქტიკული მხარდაჭერისთვის შეუძლიათ განაცხადით მიმართონ Patch the Planet-ს(იხსნება ახალ ფანჯარაში).
ასევე ვაკალიბრებთ Daybreak-ის დამატებით დამბლოკავ კლასიფიკატორებს, რათა ბოროტად გამოყენების შესაძლებლობა შევამციროთ. ეს რთულ კომპრომისებს მოითხოვს: ბოროტად გამოყენების საწინააღმდეგო დამცავმა ზომებმა შეიძლება უსაფრთხოების კანონიერი სამუშაოც დაბლოკოს. მძლავრ მოდელებზე ფართო წვდომაც და ბოროტად გამოყენებისგან ეფექტიანი დაცვაც კრიტიკულად მნიშვნელოვანია. ჩვენი მიზანია, შევინარჩუნოთ დამცველებისთვის მოწყვლადობების აღმოსაჩენად და გამოსასწორებლად საჭირო შესაძლებლობები და თან მავნე გამოყენება შევზღუდოთ. ამ ბალანსის დახვეწას შესაძლებლობების განვითარებისა და ინსტრუმენტების გამოყენებაზე დაკვირვებით მიღებული ცოდნის მიხედვით გავაგრძელებთ.
მოდელების გაძლიერებასთან ერთად შესაძლებლობები ცალკეული მოწყვლადობების აღმოჩენასა და გამოსწორებას სცდება. გვსურს, ინჟინრებს თავიდანვე უფრო უსაფრთხო პროგრამების შექმნაში დავეხმაროთ. ფართოდ გამოყენებული კომპონენტის გაუმჯობესებას შეუძლია მრავალ პროდუქტსა და სერვისში ხარვეზების თავიდან აცილება ან მათი გავლენის შეზღუდვა.
AI ინჟინრებს დაეხმარება არსებული კოდის გააზრებაში, ცვლილებების მომზადებასა და ტესტების შექმნაში. მხარდამჭერი გუნდები და უსაფრთხოების ექსპერტები კი შეამოწმებენ, ინარჩუნებს თუ არა ცვლილებები მომხმარებლებისთვის საჭირო ქცევას. შესაძლებლობებს რამდენიმე მიმართულებით ვხედავთ:
თავიდანვე უსაფრთხო კოდი. პროგრამირების მოდელებს შეუძლია დეველოპერებს დაეხმარო უფრო უსაფრთხო ნაგულისხმევი პარამეტრების არჩევაში, უსაფრთხოების ბიბლიოთეკების სწორად გამოყენებასა და სარისკო შაბლონების შემჩნევაში უშუალოდ კოდის წერისას. შემუშავებისას მოწყვლადობების პრევენცია მხარდამჭერი გუნდებისა და მომხმარებლებისთვის ნაკლებ გადაუდებელ შესწორებას ნიშნავს.
მეხსიერებასთან უსაფრთხოდ მომუშავე პროგრამები. კრიტიკული კომპონენტების მეხსიერებასთან უსაფრთხოდ მომუშავე ენებზე გადატანას შეუძლია მეხსიერების შეცდომების გავრცელებული კლასების აღმოფხვრა. AI დაგვეხმარება მიგრაციაში, ტესტები და ექსპერტთა შემოწმება კი ქცევისა და თავსებადობის შეფასებას უზრუნველყოფს.
ფორმალური ვერიფიკაცია. მათემატიკური მტკიცებულებებით შეიძლება დადგინდეს, რომ მოცემული დაშვებების პირობებში კრიტიკული კომპონენტები უსაფრთხოების განსაზღვრულ მოთხოვნებს აკმაყოფილებს. ამ მეთოდების ფართოდ გამოყენებულ კომპონენტებზე გავრცელებამ შეიძლება მოწყვლადობების მთელი კლასები გამორიცხოს მათზე დამოკიდებულ სერვისებსა და კრიტიკულ ინფრასტრუქტურაში.
უფრო ძლიერი იზოლაცია. სისტემებს ჯერ აღმოუჩენელი ან გამოუსწორებელი მოწყვლადობებისგან დაცვაც სჭირდება. არასანდო ფაილების, სურათებისა თუ მედიის დამმუშავებელი პროგრამების მკაცრად შეზღუდულ იზოლირებულ გარემოში გაშვებამ შეიძლება მათში შეღწევით გამოწვეული ზიანი შეამციროს. AI ინჟინრებს დაეხმარება ფართოდ გამოყენებული იზოლაციის ტექნოლოგიების გამოცდასა და გაძლიერებაში, რაც მრავალი აპლიკაციის დაცვას გააუმჯობესებს.
ჩვენს მიდგომას ვაზიარებთ, რათა მხარდამჭერმა გუნდებმა, მკვლევრებმა, რეაგირების გუნდებმა, პროვაიდერებმა და ოპერატორებმა მის პრაქტიკაში მორგებაში დაგვეხმარონ. გვსურს გავიგოთ, სად იქნება ის სასარგებლო, სად შეიძლება გამოიწვიოს შეფერხება ან დამატებითი ტვირთი და რა გამოგვრჩა. განსაკუთრებით სასარგებლო იქნება მოწყვლადობების წარსულში გასაჯაროების მაგალითები.
განსაკუთრებით გვაინტერესებს:
გასაჯაროებამდე მოცდის ვადები. რამდენი დრო სჭირდებათ მხარდამჭერ გუნდებს, ოპერატორებსა და დამცველებს საიმედო შესწორებების მოსამზადებლად და დასანერგად? რა მტკიცებულებამ უნდა განაპირობოს უფრო ადრეული გასაჯაროება, განსაკუთრებით მაშინ, როცა ზოგი მომხმარებლის დაცვა სხვებზე ადრეა შესაძლებელი?
პატჩების გადაუდებელი დანერგვა. უნდა გამოიყენონ თუ არა მთავრობებმა ან სხვა ოპერატორებმა მოწყვლადობა ადმინისტრაციული წვდომის დაკარგვის შემდეგ საკუთარ ან მათ სამართავად უფლებამოსილ სისტემებში პატჩების დასანერგად? თუ კი, რა შემთხვევაში? რა დამცავი ზომები უნდა მოქმედებდეს? საბოლოო შედეგი შეგვიძლია ასე წარმოვიდგინოთ: მთელ ინტერნეტში ცნობილი მოწყვლადობების მუდმივი სკანირება და აღმოჩენისას საიტის მფლობელის შეტყობინება ან სისტემაში პატჩის დანერგვა.
წინასწარი შეტყობინება. ვის სჭირდება წინასწარი გაფრთხილება ეფექტიანი დამცავი ზომების მისაღებად, მათ შორის იმ დამცველთაგან, რომლებიც შეიძლება გამოგვრჩეს? როდის სჯობს ეტაპობრივი შეტყობინება ფართო ჯგუფის ერთდროულად ინფორმირებას და როგორ უნდა შევაფასოთ დაფარვის მასშტაბი ინფორმაციის გაჟონვის რისკთან მიმართებით?
ნაგულისხმევად უსაფრთხო პროგრამული პაკეტები. როგორ დავეხმაროთ დამოკიდებულ პაკეტებში მოწყვლადობების აღმოჩენასა და გამოსწორებას, სანამ საწყისი პროექტის შესწორებებს ველით? ან როგორ გადავიტანოთ შესწორებები ძველ ვერსიებში, რომლებიც უსაფრთხოების განახლებებს აღარ იღებს? რა ტესტირება და მოვლა აქცევს ამ პაკეტებს საიმედო არჩევანად, როცა დროული განახლება შეუძლებელია?
ასევე, გთხოვთ, გვირჩიოთ უსაფრთხოების დამოუკიდებელი ექსპერტები, რომლებიც მიდგომას განიხილავენ, მის დაშვებებს კრიტიკულად შეაფასებენ და ხარვეზებს გამოავლენენ. თქვენი მოსაზრებები რეაგირების დახვეწასა და მხარდაჭერის პრიორიტეტების განსაზღვრაში დაგვეხმარება. გაგვიზიარეთ თქვენი მოსაზრებები აქ(იხსნება ახალ ფანჯარაში).
