पॅच द प्लॅनेट: एजंटना सापडलेल्या गंभीर सुरक्षा त्रुटींवर जागतिक प्रतिसादाचा समन्वय

गेल्या दोन महिन्यांत, आम्ही वेबसाइट्स आणि वेब ॲप्लिकेशन्स चालवण्यासाठी वापरल्या जाणाऱ्या PHP या ओपन-सोर्स प्रोग्रामिंग लँग्वेजमधील गंभीर त्रुटी दूर करण्यासाठी देखभालकर्ते, संशोधक आणि सुरक्षा प्रदात्यांच्या एका आघाडीचे नेतृत्व केले. आमच्या पॅच द प्लॅनेट⁠(नवीन विंडोमध्ये उघडेल) उपक्रमाचा भाग म्हणून Calif ने GPT‑5.6 Sol वापरून एक गंभीर त्रुटी ओळखली, तसेच विझनेही स्वतंत्रपणे या दोन्ही त्रुटी शोधून त्यांची माहिती दिली. PHP च्या देखभालकर्त्यांनी या दुरुस्त्या आणि रिलीझचे नेतृत्व केले, तर आमच्या टीम्स आणि Wiz, Cloudflare व इतर भागीदारांनी या त्रुटी उघड होण्यापूर्वीच संरक्षणात्मक उपाययोजना तयार करण्यासाठी संशोधन, तांत्रिक साहाय्य आणि समन्वयाचे योगदान दिले.

PHP वापरणाऱ्या संस्थांसाठी आता या दुरुस्त्या लागू करणे हे प्राधान्य आहे. संभाव्य असुरक्षित PHP आवृत्त्या शोधण्यासाठी आम्ही Codex कौशल्याच्या स्वरूपात PHP आवृत्ती तपासणी साधन देत आहोत⁠(नवीन विंडोमध्ये उघडेल) . त्यासोबत PHP व संबंधित पुरवठादारांचे मार्गदर्शन वापरून ऑपरेटर्सना लागू होणारे अपडेट्स ठरवता येतील.

या त्रुटींचे गांभीर्य आणि PHP चा व्यापक वापर पाहता, अलीकडच्या काळातील सर्वाधिक परिणामकारक सुरक्षा समस्यांपैकी ही एक आहे, असे आम्ही मानतो. यातून कृत्रिम बुद्धिमत्ता इंटरनेटव्यापी परिणाम करणाऱ्या सुरक्षा त्रुटी कशा शोधू शकते हे दिसते. पण याच क्षमतांमुळे हल्लेखोरांनाही हल्ल्याची साधने व त्रुटींचा गैरफायदा घेणारा कोड वेगाने तयार करता येतो.

आमच्या माहितीनुसार, अत्याधुनिक कृत्रिम बुद्धिमत्तेने हल्लेखोरांआधी या सुरक्षा त्रुटी शोधल्या. त्यामुळे देखभालकर्ते व सुरक्षा पुरवठादारांना प्रकटीकरणापूर्वी दुरुस्त्या व संरक्षण तयार करण्यासाठी बचावाची संधी मिळाली.

अधिक रक्षकांना या क्षमता वापरता याव्यात म्हणून, आम्ही आघाडीवरील रक्षकांसाठी डेब्रेक उपक्रमातून $1 अब्जाच्या अनुदानित डेब्रेक प्रवेशाची बांधिलकी घेतली आहे. अत्यावश्यक सेवांचे संरक्षण करणाऱ्या, मर्यादित सुरक्षा संसाधने असलेल्या संस्थांवर यात भर आहे.

या त्रुटी गंभीर असल्या तरी, आम्ही शोधलेल्या आणि दुरुस्त करत असलेल्या अनेक गंभीर सुरक्षा त्रुटींपैकी त्या काही आहेत. येत्या महिन्यांत अशा शोधांमध्ये मोठी वाढ अपेक्षित आहे. आतापर्यंतच्या अनुभवावरून, व्यापक वापरातील सॉफ्टवेअरच्या गंभीर सुरक्षा त्रुटींना प्रतिसाद देण्यासाठी आम्ही कृत्रिम बुद्धिमत्तेच्या युगाला अनुरूप पद्धत सुचवत आहोत. ही फ्रेमवर्क सुधारण्यासाठी सुरक्षा समुदायाचे सहकार्य मागत आहोत. यात आमची मॉडेल, सुरक्षा कौशल्य आणि देखभालकर्ते एकत्र येतात, जेणेकरून शोधांचे रूपांतर संरक्षणात होईल आणि कृत्रिम बुद्धिमत्तेच्या क्षमतांसोबत प्रतिसादाची व्याप्तीही वाढवता येईल.

दुरुस्ती प्रत्यक्ष वापरात आणण्यासाठी ती जुन्या आवृत्त्यांना अनुरूप करणे, पुरवठादारांकडून जोखीम कमी करणारे उपाय तयार करणे आणि अनेक संस्थांच्या प्रणाली अपडेट कराव्या लागू शकतात. पुन्हा वापरता येणाऱ्या प्रक्रियेमुळे अधिक सुरक्षा त्रुटी सापडत गेल्या तरी हे संघ वेगाने कृती करू शकतात.

पॅच द प्लॅनेटतर्फे आम्ही PHP साठीच्या प्रतिसादाला सुरक्षा कौशल्य व मॉडेलचा प्रवेश पुरवला. देखभालकर्ते आणि संशोधन भागीदारांसोबत दुरुस्त्या तपासल्या व मार्गदर्शन तयार केले. प्रभावित प्रणालींच्या संरक्षणासाठी पायाभूत सुविधा पुरवठादारांशी समन्वय साधण्यासही आम्ही मदत केली. महत्त्वाच्या संस्थांपर्यंत मार्गदर्शन पोहोचवण्यासाठी सरकारी सायबर यंत्रणांना सहभागी केले. यामुळे देखभालकर्त्यांच्या नेतृत्वाखालील प्रतिसादाला पाठबळ मिळाले आणि इतर रक्षकांना तयारी करता आली.

काही त्रुटींसाठी संशोधक थेट सॉफ्टवेअरच्या देखभालकर्त्यांसोबत समस्या तपासून दुरुस्ती तयार करू शकतात. इतर त्रुटींसाठी व्यापक प्रतिसाद लागतो, कारण त्या अनेक उत्पादनांवर परिणाम करतात किंवा वितरक व सेवा पुरवठादारांना अपडेट्स आणि संरक्षण तयार करण्यासाठी वेळ हवा असतो. अत्याधुनिक क्षमता सर्वसाधारणपणे उपलब्ध क्षमतांपेक्षा फार पुढे नसतील, तर हा वेळ कमी मिळू शकतो. अशावेळी कोणाला सहभागी करावे हे ठरवण्यासाठी व कामाचा समन्वय साधण्यासाठी प्रस्तावित फ्रेमवर्क देखभालकर्त्यांना मदत करू शकते. प्रतिसादाचे पाच टप्पे असू शकतात:

• मूळ सॉफ्टवेअरमधील सुरक्षा त्रुटीची पुष्टी करून ती दुरुस्त करा. देखभालकर्ते, संशोधक व आवश्यक तांत्रिक भागीदार त्रुटीची पुष्टी करतात, तिच्या परिणामाचे मूल्यमापन करतात आणि दुरुस्ती तयार करून तपासतात. पॅचला वळसा घालण्याचे मार्ग व त्रुटीचे संबंधित प्रकार शोधण्यासाठी या प्रक्रियेत अत्याधुनिक मॉडेल वापरून हल्लेखोरांच्या भूमिकेतून चाचण्या केल्या जातात.

• प्रभावित संस्थांना कृती करण्यासाठी वेळ द्या. संरक्षण तयार करण्यासाठी कोणत्या संस्थांना आगाऊ माहिती हवी, याचा विचार करण्याची फ्रेमवर्क आम्ही सुचवत आहोत. कोणाला सहभागी करायचे हे देखभालकर्ते ठरवतील. संपर्क साधणे, माहितीच्या देवाणघेवाणीचे करार आणि संघांतील समन्वय यांत आम्ही मदत करतो. वितरक जुन्या आवृत्तीसाठी दुरुस्ती बदलू शकतो; होस्टिंग पुरवठादार जोखीम कमी करणारा उपाय तपासू शकतो; तर सुरक्षा पुरवठादार वेब एप्लिकेशन फायरवॉलच्या (WAF) नियमांसह शोधक किंवा प्रतिबंधक उपाय तयार करू शकतो.

• महत्त्वाच्या प्रणालींच्या संरक्षणासाठी सरकारी भागीदारांशी समन्वय साधा. व्यापक प्रतिसादाचा समन्वय साधण्यात आणि महत्त्वाच्या पायाभूत सुविधा व अत्यावश्यक सेवांची जबाबदारी असलेल्या संस्थांपर्यंत सुरक्षा मार्गदर्शन पोहोचवण्यात सरकारी यंत्रणा अत्यावश्यक भूमिका बजावतात. PHP च्या बाबतीत, या प्रयत्नांना पाठबळ देण्यासाठी आम्ही भागीदारांसोबत अमेरिकन सरकारच्या अनेक विभागांशी संपर्क साधला. यात व्हाइट हाउसचे सुपर इंटेलिजन्स फोर्स, राष्ट्रीय सायबर संचालक कार्यालय (ONCD), सायबरसुरक्षा व पायाभूत सुविधा सुरक्षा संस्था (CISA), तसेच आंतरराष्ट्रीय भागीदारांचा समावेश होता.

• प्रभावित उत्पादनांसाठी अपडेट्स तयार करा. दुरुस्ती, मार्गदर्शन आणि प्रकटीकरणाच्या योजना निश्चित होत गेल्यावर, अपडेट्स तयार करण्यासाठी व संरक्षणातील उणिवा भरून काढण्यासाठी देखभालकर्ते आणखी वितरक, होस्टिंग व सेवा पुरवठादार, प्रतिसाद संघ आणि ऑपरेटर्सना सहभागी करू शकतात.

• पॅच उपलब्ध झाल्यावर मार्गदर्शन प्रकाशित करा आणि अंमलबजावणीला मदत करा. सार्वजनिक मार्गदर्शनामुळे लोकांना स्वतःची जोखीम तपासता येते, अधिकृत अपडेट्स किंवा तात्पुरते उपाय शोधता येतात आणि दुरुस्ती कार्यरत असल्याची खात्री करता येते. ऑपरेटर्स अपडेट्स लागू करत असताना आणि मदतीची गरज कळवत असताना प्रतिसादाचे काम सुरूच राहते.

प्रस्तावित फ्रेमवर्क संस्थेच्या संरक्षणात्मक भूमिकेचा विचार करते. यात स्वतःच्या प्रणाली व ग्राहकांचे संरक्षण, कृतीसाठी लागणारा वेळ आणि संवेदनशील माहिती हाताळण्याची क्षमता समाविष्ट आहे. तुलनीय संस्थांना समान निकष लागू होतील. प्रकटीकरणापूर्वी कोणाला सहभागी करायचे हे देखभालकर्ते ठरवतील.

प्रत्येक सहभागीला त्याच्या संरक्षणात्मक कामासाठी आवश्यक माहिती मिळते. यात घुसखोरीचे संकेत असलेल्या नेटवर्क लॉग्सपासून, त्रुटीचा गैरफायदा घेता येतो हे प्रत्यक्ष सिद्ध करणाऱ्या अधिक संवेदनशील कोडपर्यंतची माहिती असू शकते. अगदी मर्यादित तपशिलांतूनही सुरक्षा त्रुटी उघड होऊ शकते. म्हणून माहिती देण्याच्या जोखमीची तुलना तिच्यामुळे शक्य होणाऱ्या संरक्षणाशी आम्ही करतो.

या फ्रेमवर्कचे पालन करणारे संघ, सुरक्षेतील त्रुटी दूर करणाऱ्यांना तयारीसाठी वेळ देण्यासाठी संबंधित प्रकल्पाच्या देखभालकर्त्यांसोबत काम करतील. प्रत्यक्ष परिस्थितीत या त्रुटींचा गैरफायदा घेतला जात असल्यास, माहिती लीक झाल्यास, त्रुटी उघड करणारा पॅच सार्वजनिक झाल्यास किंवा दुरुस्तीला विलंब झाल्यामुळे वापरकर्त्यांसाठी धोका वाढल्यास, ते कालमर्यादेचे पुनर्मूल्यांकनही करतील.

पॅच द प्लॅनेट वेबसाईट⁠(नवीन विंडोमध्ये उघडेल) सार्वजनिक प्रकटीकरणे व मार्गदर्शन एकत्र आणते. त्यामुळे ऑपरेटर्सना प्रभावित प्रणाली ओळखता येतात, योग्य अपडेट शोधता येते आणि अपडेट केलेले सॉफ्टवेअर नीट चालत असल्याची खात्री करता येते. PHP साठी ते देखभालकर्त्यांची अधिकृत दुरुस्ती, आवृत्ती अपग्रेडच्या सूचना आणि आमच्या भागीदारांचे तांत्रिक संशोधन यांचे संदर्भ देते. यात तात्पुरते उपाय, पुरवठादार किंवा तज्ज्ञांना कधी सहभागी करावे, तसेच राखीव प्रत व पुनर्प्राप्ती यांबद्दलही मार्गदर्शन आहे. तात्पुरत्या संरक्षणामुळे जोखीम कमी होऊ शकते; पण त्याच्या मर्यादा आणि कार्यचालनातील तडजोडी आम्ही स्पष्ट करू.

जोखमीस सामोरे जाण्याची स्थिती, त्रुटीचा गैरफायदा घेतला जाणे आणि संभाव्य परिणाम यांच्या आधारे किती लवकर कृती करावी हे ठरवण्यासाठी ऑपरेटर्स CISA चे प्राधान्यक्रम व निवारणाबाबतचे मार्गदर्शन⁠(नवीन विंडोमध्ये उघडेल) वापरू शकतात. यासाठी आपत्कालीन दुरुस्ती, जोखीम कमी करणारा तातडीचा उपाय किंवा नियोजित अद्यतन लागू शकते. गरजेनुसार प्रणालींत आधीच घुसखोरी झाली आहे का हे तपासण्यासाठी प्राथमिक न्यायवैज्ञानिक तपासही करावा लागू शकतो. परिस्थिती बदलल्यावर प्राधान्यक्रमांचा फेरविचार करावा आणि कायमस्वरूपी निवारणाचा मार्ग स्पष्ट ठेवावा.

जागतिक समन्वय हा सॉफ्टवेअरची देखभाल करणाऱ्या लोकांवर अवलंबून असतो. अनेक प्रकल्प लहान संघ चालवतात. नियमित विकासकामांसोबतच ते सुरक्षा अहवालांचीही तपासणी करतात. आधी कळवलेल्या समस्यांपासून नवीन समस्या वेगळ्या करणे, परिणामांचे मूल्यमापन करणे आणि समर्थित आवृत्त्यांवर दुरुस्त्या तपासणे यांसाठी या संघांना मदत हवी असते. निधी, सक्षम मॉडेलचा प्रवेश आणि प्रत्यक्ष अभियांत्रिकी मदत देऊन आम्ही या कामाला पाठबळ देतो.

संपूर्ण उद्योगात कृत्रिम बुद्धिमत्तेच्या प्रभावी क्षमता विकसित होत आहेत. रक्षकांना सुरक्षा त्रुटी शोधणे, प्रणालींवर लक्ष ठेवणे आणि धोक्यांना प्रतिसाद देणे यांत मदत करण्याची तिची भूमिका वाढत जाईल, अशी आमची अपेक्षा आहे. रक्षकांना या क्षमता वापरता याव्यात म्हणून आम्ही मॉडेल, साधने आणि भागीदारींमध्ये गुंतवणूक करत आहोत.

आमच्या गुंतवणुकीत OSS साठी Codex उपक्रमातून सर्व देखभालकर्त्यांना सदस्यता देणे, तसेच देखभालकर्ते व तांत्रिक कामासाठी रस्ट फाउंडेशन⁠(नवीन विंडोमध्ये उघडेल) सारख्या प्रकल्पांना थेट प्रायोजकत्व देणे समाविष्ट आहे. प्रत्येक प्रकल्प स्वतःचे प्राधान्यक्रम ठरवतो. पुन्हा वापरता येणाऱ्या चाचण्या आणि सुरक्षा कार्यप्रवाहांमुळे भविष्यात सापडणाऱ्या त्रुटी हाताळण्याचे श्रम कमी होऊ शकतात. प्रत्यक्ष मदतीसाठी ओपन सोर्स प्रोजेक्ट्स पॅच द प्लॅनेटकडे अर्ज⁠(नवीन विंडोमध्ये उघडेल) करू शकतात.

गैरवापराची शक्यता कमी करण्यासाठी डेब्रेकमध्ये विनंत्या रोखणारी अतिरिक्त वर्गीकरण साधनेही आम्ही समायोजित करत आहोत. यात कठीण तडजोडी कराव्या लागतात: गैरवापर रोखण्यासाठीचे सुरक्षा उपाय वैध सुरक्षा कामांनाही अडवू शकतात. सक्षम मॉडेलचा व्यापक प्रवेश आणि गैरवापराविरुद्ध प्रभावी संरक्षण या दोन्ही गोष्टी अत्यावश्यक आहेत. हानिकारक वापर मर्यादित करताना, सुरक्षा त्रुटी शोधण्यासाठी आणि दुरुस्त करण्यासाठी रक्षकांना आवश्यक असलेल्या क्षमता अबाधित ठेवणे हे आमचे उद्दिष्ट आहे. क्षमता विकसित होत गेल्यावर आणि या साधनांच्या वापरातून शिकत गेल्यावर आम्ही हा समतोल अधिक सुधारत राहू.

मॉडेल अधिक सक्षम होत गेल्यावर, संधी केवळ स्वतंत्र सुरक्षा त्रुटी शोधून दुरुस्त करण्यापुरती मर्यादित राहत नाही. अभियंत्यांना सुरुवातीपासूनच अधिक सुरक्षित सॉफ्टवेअर तयार करण्यास आम्ही मदत करू इच्छितो. व्यापक वापरातील घटकात सुधारणा केल्याने अनेक उत्पादने व सेवांमधील बग्स टाळता येतात किंवा त्यांचा परिणाम मर्यादित करता येतो.

AI अभियंत्यांना विद्यमान कोड समजून घेणे, बदल तयार करणे आणि चाचण्या विकसित करणे यांत मदत करू शकते. हे बदल वापरकर्ते अवलंबून असलेले कार्यवर्तन टिकवतात का, हे देखभालकर्ते व सुरक्षा तज्ज्ञ पडताळू शकतात. आम्हाला अनेक क्षेत्रांत संधी दिसतात:

• सुरुवातीपासून सुरक्षित कोड. कोड लिहिणारी मॉडेल डेव्हलपर्सना अधिक सुरक्षित पूर्वनिर्धारित पर्याय निवडणे, सुरक्षा कोड-संग्रह योग्य प्रकारे वापरणे आणि कोड लिहितानाच धोकादायक रचना शोधणे यांत मदत करू शकतात. विकासादरम्यान सुरक्षा त्रुटी रोखल्यास देखभालकर्ते आणि वापरकर्त्यांना कमी आपत्कालीन दुरुस्त्या कराव्या लागतात.

• मेमरीचा सुरक्षित वापर करणारे सॉफ्टवेअर. महत्त्वाचे घटक मेमरीचा सुरक्षित वापर सुनिश्चित करणाऱ्या भाषांत रूपांतरित केल्यास मेमरी त्रुटींचे सामान्य प्रकार पूर्णपणे दूर करता येतात. या रूपांतरात कृत्रिम बुद्धिमत्ता मदत करू शकते. कार्यवर्तन आणि सुसंगतता तपासण्यासाठी चाचण्या व तज्ज्ञांचे परीक्षण उपयोगी पडेल.

• औपचारिक पडताळणी. नमूद गृहीतकांनुसार महत्त्वाचे घटक ठरावीक सुरक्षा गुणधर्म पूर्ण करतात, हे गणिती सिद्धतांद्वारे दाखवता येते. व्यापक वापरातील घटकांना या पद्धती लागू केल्यास त्यांवर अवलंबून असलेल्या सेवा आणि महत्त्वाच्या पायाभूत सुविधांतील सुरक्षा त्रुटींचे काही प्रकार पूर्णपणे टाळता येऊ शकतात.

• अधिक मजबूत विलगीकरण. अद्याप न सापडलेल्या किंवा दुरुस्त न झालेल्या सुरक्षा त्रुटींपासूनही प्रणालींना संरक्षण हवे. अविश्वसनीय फाईल्स, इमेजेस किंवा मीडियावर प्रक्रिया करणारे सॉफ्टवेअर कडक निर्बंध असलेल्या विलग वातावरणात चालवल्यास, त्यात घुसखोरी झाली तरी नुकसान मर्यादित ठेवता येते. कृत्रिम बुद्धिमत्ता अभियंत्यांना व्यापक वापरातील सॅन्डबॉक्सिंग तंत्रज्ञान तपासण्यास व बळकट करण्यास मदत करू शकते. त्यामुळे अनेक अनुप्रयोगांचे संरक्षण सुधारू शकते.

देखभालकर्ते, संशोधक, प्रतिसाद संघ, पुरवठादार आणि ऑपरेटर्सना ही पद्धत व्यवहार्य बनवण्यात मदत करता यावी म्हणून आम्ही ती मांडत आहोत. ती कुठे उपयुक्त ठरेल, कुठे विलंब किंवा कामाचा भार वाढवू शकते आणि आमच्या नजरेतून काय सुटले आहे, हे आम्हाला समजून घ्यायचे आहे. पूर्वीच्या प्रकटीकरणांची उदाहरणे विशेष उपयुक्त ठरतील.

विशेषतः पुढील बाबींवर आम्हाला अभिप्राय हवा आहे:

• प्रकटीकरणापूर्वीचा अवधी. विश्वसनीय दुरुस्त्या तयार करून लागू करण्यासाठी देखभालकर्ते, ऑपरेटर्स आणि रक्षकांना किती वेळ हवा असतो? विशेषतः काही वापरकर्त्यांना इतरांपेक्षा लवकर संरक्षण देता येत असेल, तर कोणत्या पुराव्याच्या आधारे प्रकटीकरण लवकर करावे?

• आपत्कालीन दुरुस्ती. प्रशासकीय प्रवेश गमावल्यानंतर, स्वतःच्या मालकीच्या किंवा व्यवस्थापनाची अधिकृत परवानगी असलेल्या प्रणाली दुरुस्त करण्यासाठी सरकारांनी किंवा इतर ऑपरेटर्सनी सुरक्षा त्रुटीचा वापर करणे कधी योग्य ठरेल, की ते कधीच करू नये? कोणते सुरक्षा उपाय लागू असावेत? ज्ञात सुरक्षा त्रुटींसाठी संपूर्ण इंटरनेटवर अखंड तपासणी सुरू असेल आणि त्रुटी सापडल्यावर साईटच्या मालकाला कळवले जाईल किंवा प्रणाली दुरुस्त केली जाईल, अशा अंतिम स्थितीची आम्ही कल्पना करू शकतो.

• पूर्वसूचना. उपयुक्त संरक्षणात्मक कृती करण्यासाठी कोणाला पूर्वसूचना हवी असते? यात आमच्या नजरेतून सुटू शकणारे रक्षक कोण आहेत? मोठ्या गटाला एकाच वेळी कळवण्यापेक्षा टप्प्याटप्प्याने सूचना देणे कधी अधिक परिणामकारक ठरते? संरक्षणाची व्याप्ती आणि माहिती गळतीची जोखीम यांची तुलना कशी करावी?

• मूलभूत संरचनेतच सुरक्षित असलेली सॉफ्टवेअर पॅकेजेस. मूळ सॉफ्टवेअरच्या दुरुस्त्या प्रलंबित असताना त्यावर आधारित पॅकेजेसमधील सुरक्षा त्रुटी शोधून दुरुस्त करण्यास आपण कशी मदत करू शकतो? सुरक्षा अद्यतने मिळणे बंद झालेल्या जुन्या आवृत्त्यांना दुरुस्त्या अनुरूप करून कशा लागू करता येतील? वेळेत आवृत्ती उन्नयन शक्य नसल्यास, कोणत्या चाचण्या आणि देखभालीमुळे ही पॅकेजेस विश्वासार्ह पर्याय ठरतील?

या पद्धतीचे परीक्षण करू शकतील, तिची गृहीतके तपासू शकतील आणि उणिवा शोधू शकतील अशा स्वतंत्र सुरक्षा तज्ज्ञांची नावेही आपण सुचवू शकता. तुमच्या सूचनांमुळे आम्हाला प्रतिसाद सुधारण्यास आणि सपोर्टचे प्राधान्यक्रम ठरवण्यास मदत होईल. तुमचा अभिप्राय येथे द्या⁠(नवीन विंडोमध्ये उघडेल).