Patch the Planet: penyelarasan respons global apabila ejen menemui kerentanan kritikal
Sepanjang dua bulan lalu, kami menerajui gabungan penyelenggara, penyelidik dan penyedia keselamatan untuk menangani kerentanan kritikal dalam PHP, bahasa pengaturcaraan sumber terbuka yang digunakan untuk menjalankan laman web dan aplikasi web. Calif mengenal pasti kelemahan kritikal menggunakan GPT‑5.6 Sol menerusi inisiatif Patch the Planet(dibuka dalam tetingkap baru) kami. Wiz turut menemui dan melaporkan kedua-dua kerentanan itu secara berasingan. Penyelenggara PHP menerajui pembaikan dan keluarannya, manakala pasukan kami serta rakan kongsi seperti Wiz, Cloudflare dan yang lain menyumbang penyelidikan, sokongan teknikal dan penyelarasan untuk menyediakan perlindungan sebelum pendedahan.
Bagi organisasi yang menggunakan PHP, keutamaan kini ialah menerapkan pembaikan. Kami berkongsi penyemak versi PHP sebagai kemahiran Codex(dibuka dalam tetingkap baru) untuk membantu pengendali mengenal pasti versi PHP yang mungkin terdedah dan, berpandukan panduan PHP serta penyedia mereka, menentukan kemas kini yang perlu diterapkan.
Memandangkan betapa seriusnya kelemahan ini dan meluasnya penggunaan PHP, kami menganggapnya antara isu keselamatan yang paling besar kesannya sejak kebelakangan ini. Hal ini menunjukkan cara AI boleh menemui kelemahan keselamatan yang memberi kesan pada skala Internet. Namun, keupayaan yang sama juga boleh membantu penyerang membangunkan alat serangan dan mengeksploit dengan pantas.
Setakat pengetahuan kami, AI termaju menemui kerentanan ini sebelum penyerang, sekali gus membuka Ruang Peluang Pembela untuk penyelenggara dan penyedia keselamatan menyediakan pembaikan serta perlindungan sebelum pendedahan.
Untuk membantu lebih ramai pembela menggunakan keupayaan ini, kami memperuntukkan $1 bilion bagi akses Daybreak bersubsidi melalui Daybreak untuk Pembela Barisan Hadapan, dengan tumpuan pada organisasi yang melindungi perkhidmatan penting dengan sumber keselamatan terhad.
Walaupun pepijat ini serius, ia hanyalah sebahagian daripada beberapa kerentanan serius yang telah kami temui dan sedang kami baiki. Kami menjangkakan penemuan serupa akan meningkat dengan mendadak dalam beberapa bulan akan datang. Berdasarkan pengalaman kami setakat ini, kami berkongsi cadangan pendekatan yang sesuai untuk era AI bagi menangani kerentanan kritikal dalam perisian yang digunakan secara meluas. Kami memohon bantuan komuniti keselamatan untuk menambah baik rangka kerja ini. Pendekatan ini menggabungkan model, kepakaran keselamatan dan penyelenggara kami untuk menterjemahkan penemuan kepada perlindungan serta membina respons yang boleh diperluas seiring kemajuan keupayaan AI.
Pelaksanaan pembaikan mungkin memerlukan penyesuaian untuk keluaran lama, penyediaan langkah mitigasi oleh penyedia dan pengemaskinian sistem di banyak organisasi. Proses yang boleh diulang membantu pasukan ini bertindak pantas apabila lebih banyak kerentanan ditemui.
Melalui Patch the Planet, kami menyumbang kepakaran keselamatan dan akses model untuk menyokong respons PHP, serta bekerjasama dengan penyelenggara dan rakan penyelidikan untuk menguji pembaikan dan menyediakan panduan. Kami turut membantu penyelarasan dengan penyedia infrastruktur untuk melindungi sistem terjejas, serta melibatkan agensi siber kerajaan agar panduan sampai kepada organisasi kritikal. Usaha ini menyokong respons yang diterajui penyelenggara dan membantu pembela lain membuat persediaan.
Bagi sesetengah penemuan, penyelidik boleh bekerjasama terus dengan penyelenggara perisian untuk menyiasat isu dan membangunkan pembaikan. Penemuan lain memerlukan respons lebih luas kerana menjejaskan banyak produk, atau kerana pengedar dan penyedia perkhidmatan memerlukan masa untuk menyediakan kemas kini serta perlindungan. Masa ini mungkin terhad jika keupayaan termaju tidak jauh mendahului keupayaan yang tersedia secara meluas. Dalam keadaan tersebut, rangka kerja yang dicadangkan dapat membantu penyelenggara mengenal pasti pihak yang perlu dilibatkan dan menyelaraskan kerja. Respons ini boleh melibatkan lima peringkat:
Sahkan dan baiki kerentanan di peringkat huluan. Penyelenggara, penyelidik dan rakan teknikal utama mengesahkan penemuan, menilai kesannya, serta membangunkan dan menguji pembaikan. Proses ini merangkumi pengujian adversarial menggunakan model termaju untuk mencari cara memintas tampalan dan varian kerentanan yang berkaitan.
Beri organisasi yang terjejas masa untuk bertindak. Kami mencadangkan rangka kerja untuk menilai organisasi yang memerlukan maklumat awal bagi menyediakan perlindungan, sementara penyelenggara menentukan pihak yang akan dilibatkan. Kami membantu menghubungi pihak berkaitan, mengurus perjanjian perkongsian maklumat dan menyelaraskan pasukan. Pengedar mungkin menyesuaikan pembaikan untuk keluaran lama, penyedia pengehosan mungkin menguji langkah mitigasi, dan penyedia keselamatan mungkin menyediakan langkah pengesanan atau pencegahan, termasuk peraturan tembok api aplikasi web (WAF).
Selaraskan usaha dengan rakan kerajaan untuk membantu melindungi sistem kritikal. Agensi kerajaan memainkan peranan penting dalam menyelaraskan respons lebih luas dan memastikan panduan keselamatan sampai kepada organisasi yang bertanggungjawab terhadap infrastruktur kritikal serta perkhidmatan penting lain. Dalam kes PHP, kami bekerjasama dengan rakan kongsi untuk melibatkan beberapa bahagian kerajaan A.S., termasuk Pasukan Kecerdasan Super Rumah Putih, Pejabat Pengarah Siber Kebangsaan (ONCD), Agensi Keselamatan Siber dan Infrastruktur (CISA), serta rakan antarabangsa bagi menyokong usaha tersebut.
Sediakan kemas kini untuk semua produk terjejas. Apabila pembaikan, panduan dan rancangan pendedahan sudah stabil, penyelenggara boleh melibatkan lebih ramai pengedar, penyedia pengehosan dan perkhidmatan, pasukan respons serta pengendali untuk menyediakan kemas kini dan menangani jurang liputan.
Setelah tampalan tersedia, terbitkan panduan dan sokong pelaksanaannya. Panduan awam membantu pengguna menilai tahap pendedahan mereka, mencari kemas kini rasmi atau langkah mitigasi sementara, dan menyemak bahawa pembaikan telah berfungsi. Respons berterusan semasa pengendali melaksanakan kemas kini dan melaporkan perkara yang memerlukan bantuan.
Rangka kerja yang dicadangkan mengambil kira peranan perlindungan sesebuah organisasi, termasuk melindungi sistem dan pelanggannya sendiri, masa yang diperlukan untuk bertindak, serta keupayaannya mengendalikan maklumat sensitif. Kriteria yang sama akan digunakan untuk organisasi setara, dengan penyelenggara menentukan pihak yang akan dilibatkan sebelum pendedahan.
Setiap peserta menerima maklumat yang diperlukan untuk tugas perlindungan mereka, daripada log rangkaian dengan penunjuk pencerobohan hingga eksploit bukti konsep yang berfungsi dan lebih sensitif. Butiran yang terhad pun boleh mendedahkan kerentanan, jadi kami menimbang risiko perkongsian berbanding perlindungan yang dapat disediakan melaluinya.
Pasukan yang mengikuti rangka kerja ini akan bekerjasama dengan penyelenggara untuk memberi pembela masa membuat persediaan dan menilai semula garis masa jika berlaku eksploitasi aktif di dunia sebenar, kebocoran, tampalan awam yang mendedahkan kerentanan, atau peningkatan risiko kepada pengguna akibat pemulihan yang tergendala.
Laman web Patch the Planet(dibuka dalam tetingkap baru) menghimpunkan pendedahan awam dan panduan untuk membantu pengendali mengenal pasti sistem terjejas, mencari kemas kini yang sesuai, serta mengesahkan bahawa perisian yang dikemas kini berfungsi dengan betul. Bagi PHP, laman ini merujuk kepada tampalan rasmi dan arahan naik taraf penyelenggara serta penyelidikan teknikal rakan kongsi kami. Panduan ini turut meliputi langkah mitigasi sementara, masa untuk melibatkan penyedia atau pakar, serta sandaran dan pemulihan. Perlindungan sementara boleh mengurangkan risiko, tetapi kami akan menjelaskan batasan dan kompromi operasinya.
Pengendali boleh menggunakan panduan CISA tentang penetapan keutamaan dan pemulihan(dibuka dalam tetingkap baru) untuk menilai kepantasan tindakan yang diperlukan berdasarkan pendedahan, eksploitasi dan potensi kesan. Ini mungkin melibatkan penampalan kecemasan, mitigasi segera atau kemas kini terancang, berserta triage forensik jika wajar untuk menilai sama ada sistem telah diceroboh. Keutamaan perlu dinilai semula apabila keadaan berubah, dengan laluan yang jelas menuju pemulihan berkekalan.
Penyelarasan global bergantung pada mereka yang menyelenggara perisian. Banyak projek dikendalikan oleh pasukan kecil yang menyemak laporan keselamatan di samping menjalankan pembangunan rutin. Pasukan ini memerlukan bantuan untuk membezakan isu baharu daripada laporan berulang, menilai kesan dan menguji pembaikan pada semua keluaran yang disokong. Kami menyokong kerja ini dengan pembiayaan, akses kepada model berkeupayaan tinggi dan bantuan kejuruteraan secara langsung.
Keupayaan AI yang hebat terus berkembang di seluruh industri. Kami menjangkakan peranan AI akan semakin besar dalam membantu pembela mencari kerentanan, memantau sistem dan bertindak balas terhadap ancaman. Kami melabur dalam model, alat dan perkongsian untuk membantu pembela memanfaatkan keupayaan tersebut.
Pelaburan kami merangkumi langganan untuk semua penyelenggara melalui Codex untuk OSS dan penajaan terus projek seperti Yayasan Rust(dibuka dalam tetingkap baru) bagi menyokong penyelenggara dan kerja teknikal. Setiap projek menetapkan keutamaannya sendiri. Ujian dan aliran kerja keselamatan yang boleh digunakan semula dapat mengurangkan usaha yang diperlukan untuk menangani penemuan pada masa hadapan. Projek sumber terbuka boleh memohon kepada Patch the Planet(dibuka dalam tetingkap baru) untuk mendapatkan sokongan secara langsung.
Kami juga sedang menentukur pengelas penyekatan tambahan untuk Daybreak bagi membantu mengurangkan potensi penyalahgunaan. Ini melibatkan kompromi yang sukar: langkah perlindungan untuk mencegah penyalahgunaan juga boleh menyekat kerja keselamatan yang sah. Akses meluas kepada model berkeupayaan tinggi dan perlindungan berkesan daripada penyalahgunaan sama-sama penting. Matlamat kami ialah mengekalkan keupayaan yang diperlukan pembela untuk mencari dan membaiki kerentanan, sambil mengehadkan penggunaan yang memudaratkan. Kami akan terus memperhalus keseimbangan ini seiring kemajuan keupayaan dan pembelajaran kami daripada cara alat ini digunakan.
Apabila model semakin berkeupayaan, peluang yang terbuka melangkaui usaha mencari dan membaiki kerentanan satu demi satu. Kami mahu membantu jurutera membina perisian yang lebih selamat sejak awal. Penambahbaikan pada komponen yang digunakan secara meluas boleh mencegah pepijat atau mengehadkan kesannya merentas banyak produk dan perkhidmatan.
AI boleh membantu jurutera memahami kod sedia ada, menyediakan perubahan dan membangunkan ujian, sementara penyelenggara dan pakar keselamatan mengesahkan bahawa perubahan itu mengekalkan tingkah laku perisian yang diharapkan pengguna. Kami melihat peluang dalam beberapa bidang:
Kod yang selamat sejak awal. Model pengekodan boleh membantu pembangun memilih tetapan lalai yang lebih selamat, menggunakan pustaka keselamatan dengan betul dan mengesan corak berisiko semasa menulis kod. Pencegahan kerentanan semasa pembangunan mengurangkan keperluan pembaikan kecemasan bagi penyelenggara dan pengguna.
Perisian dengan keselamatan memori. Pemindahan komponen kritikal kepada bahasa yang menjamin keselamatan memori boleh menghapuskan kategori ralat memori yang lazim. AI boleh membantu proses migrasi, dengan ujian dan semakan pakar untuk memeriksa tingkah laku serta keserasian perisian.
Pengesahan formal. Bukti matematik boleh menunjukkan bahawa komponen kritikal memenuhi sifat keselamatan yang ditetapkan berdasarkan andaian yang dinyatakan. Penerapan kaedah ini pada komponen yang digunakan secara meluas boleh membantu menyingkirkan kategori kerentanan merentas perkhidmatan dan infrastruktur kritikal yang bergantung padanya.
Pengasingan yang lebih kukuh. Sistem memerlukan perlindungan daripada kerentanan yang belum ditemui atau dibaiki. Menjalankan perisian yang memproses fail, imej atau media tidak dipercayai dalam kotak pasir yang dikawal ketat boleh mengehadkan kerosakan jika perisian itu diceroboh. AI boleh membantu jurutera menguji dan mengukuhkan teknologi kotak pasir yang digunakan secara meluas, sekali gus meningkatkan perlindungan merentas banyak aplikasi.
Kami berkongsi pendekatan ini supaya penyelenggara, penyelidik, pasukan respons, penyedia dan pengendali dapat membantu menjadikannya praktikal. Kami mahu memahami keadaan yang boleh dibantunya, keadaan yang mungkin menimbulkan kelewatan atau beban tambahan, dan perkara yang terlepas pandang. Contoh daripada pendedahan terdahulu amat berguna.
Kami khususnya berminat dengan:
Tempoh sebelum pendedahan. Berapa lamakah masa yang diperlukan penyelenggara, pengendali dan pembela untuk menyediakan serta melaksanakan pembaikan yang boleh dipercayai? Apakah bukti yang patut mencetuskan pendedahan lebih awal, khususnya apabila sesetengah pengguna boleh dilindungi lebih awal daripada yang lain?
Penampalan kecemasan. Adakah keadaan yang mewajarkan kerajaan atau pengendali lain menggunakan kerentanan untuk menampal sistem milik mereka atau yang dibenarkan untuk mereka urus selepas kehilangan akses pentadbiran? Jika ada, bilakah tindakan itu wajar? Apakah langkah perlindungan yang patut diterapkan? Kami dapat membayangkan keadaan akhirnya apabila imbasan kerentanan yang diketahui dijalankan secara berterusan di seluruh Internet, lalu pemilik laman dimaklumkan apabila kerentanan dikesan atau sistem itu ditampal.
Notis awal. Siapakah yang memerlukan amaran awal untuk mengambil tindakan perlindungan yang bermanfaat, termasuk pembela yang mungkin terlepas daripada perhatian kami? Bilakah pemberitahuan berperingkat lebih berkesan daripada memaklumkan kumpulan lebih luas serentak, dan bagaimana patut kami menimbang liputan berbanding risiko kebocoran?
Pakej perisian dengan tetapan lalai yang selamat. Bagaimanakah kami boleh membantu mengenal pasti dan membaiki kerentanan dalam pakej hiliran sementara menunggu pembaikan huluan, atau menyesuaikan pembaikan untuk versi lama yang tidak lagi menerima kemas kini keselamatan? Apakah ujian dan penyelenggaraan yang akan menjadikan pakej ini pilihan yang boleh dipercayai apabila naik taraf tepat pada masanya tidak dapat dilakukan?
Kami juga mengalu-alukan cadangan pakar keselamatan bebas yang boleh menyemak pendekatan ini, mempersoalkan andaiannya dan mengenal pasti jurang. Pandangan anda akan membantu kami memperhalus respons dan menetapkan keutamaan sokongan. Kongsi maklum balas anda di sini(dibuka dalam tetingkap baru).
