De siste to månedene har vi ledet et samarbeid mellom vedlikeholdere, forskere og sikkerhetsleverandører for å håndtere kritiske sårbarheter i PHP, et programmeringsspråk med åpen kildekode som brukes til å drive nettsteder og nettapplikasjoner. Calif avdekket en kritisk feil ved hjelp av GPT‑5.6 Sol som del av initiativet vårt Patch the Planet(åpnes i et nytt vindu). Wiz oppdaget og rapporterte også begge sårbarhetene uavhengig av dette. PHPs vedlikeholdere ledet arbeidet med rettelsene og utgivelsen. Teamene våre og partnere som Wiz, Cloudflare og andre bidro med forskning, teknisk støtte og samordning for å klargjøre beskyttelsestiltak før offentliggjøringen.
For organisasjoner som bruker PHP, er førsteprioriteten nå å ta i bruk rettelsene. Vi deler en PHP-versjonskontroll som en Codex-ferdighet(åpnes i et nytt vindu) for å hjelpe driftsansvarlige med å identifisere potensielt sårbare PHP-versjoner og, sammen med veiledning fra PHP og leverandørene deres, avgjøre hvilke oppdateringer som er aktuelle.
Med tanke på feilenes alvorlighetsgrad og den utbredte bruken av PHP anser vi dette som en av de mest betydningsfulle sikkerhetssakene i nyere tid. Det viser hvordan KI kan avdekke sikkerhetsfeil med konsekvenser på tvers av internett, men de samme evnene kan også hjelpe angripere med å utvikle angrepsverktøy og utnyttelseskode raskt.
Så vidt vi vet, fant banebrytende KI disse sårbarhetene før angripere gjorde det. Det ga vedlikeholdere og sikkerhetsleverandører et handlingsrom for forsvarerne til å forberede rettelser og beskyttelsestiltak før offentliggjøringen.
For å hjelpe flere sikkerhetsaktører med å bruke disse evnene har vi forpliktet oss til å gi subsidiert tilgang til Daybreak til en verdi av 1 milliard dollar gjennom Daybreak for Frontline Defenders. Tiltaket er rettet mot organisasjoner med begrensede sikkerhetsressurser som beskytter samfunnsviktige tjenester.
Selv om disse feilene er alvorlige, er de bare noen av flere betydelige sårbarheter vi allerede har funnet og arbeider med å rette. Vi forventer en kraftig økning i lignende funn de kommende månedene. Med utgangspunkt i erfaringene våre så langt deler vi et forslag til hvordan kritiske sårbarheter i mye brukt programvare kan håndteres i KI-æraen. Vi ber sikkerhetsmiljøet om hjelp til å forbedre dette rammeverket. Det kobler modellene våre og sikkerhetskompetansen vår med vedlikeholdere for å omsette funn til beskyttelse og bygge en respons som kan skaleres i takt med KIs evner.
Å få en rettelse tatt i bruk kan kreve at den tilpasses eldre versjoner, at leverandører klargjør avbøtende tiltak, og at systemer oppdateres i mange organisasjoner. En prosess som kan gjentas, hjelper disse teamene med å handle raskt etter hvert som flere sårbarheter oppdages.
Gjennom Patch the Planet bidro vi med sikkerhetskompetanse og modelltilgang for å støtte håndteringen av PHP-sårbarhetene. Vi samarbeidet med vedlikeholdere og forskningspartnere om å teste rettelser og utarbeide veiledning. Vi bidro også til å samordne beskyttelsestiltak for berørte systemer med infrastrukturleverandører og involverte offentlige cybersikkerhetsmyndigheter for å få veiledningen ut til samfunnskritiske organisasjoner. Dette støttet innsatsen som vedlikeholderne ledet, og hjalp andre sikkerhetsaktører med å forberede seg.
Ved noen funn kan forskere samarbeide direkte med programvarens vedlikeholdere for å undersøke problemet og utvikle en rettelse. Andre krever en bredere innsats fordi de berører mange produkter, eller fordi distributører og tjenesteleverandører trenger tid til å forberede oppdateringer og beskyttelsestiltak. Tiden kan være knapp hvis banebrytende KI-evner ikke ligger langt foran dem som er allment tilgjengelige. I slike tilfeller kan det foreslåtte rammeverket hjelpe vedlikeholdere med å finne ut hvem som må involveres, og samordne arbeidet. Responsen kan omfatte fem faser:
Bekreft og rett sårbarheten i kildeprosjektet. Vedlikeholderen, forskere og nødvendige tekniske partnere bekrefter funnet, vurderer konsekvensene og utvikler og tester en rettelse. Prosessen omfatter testing fra et angriperperspektiv med banebrytende modeller for å lete etter måter å omgå rettelsen på og beslektede varianter av sårbarheten.
Gi berørte organisasjoner tid til å handle. Vi foreslår et rammeverk for å vurdere hvilke organisasjoner som trenger forhåndsinformasjon for å forberede beskyttelsestiltak, mens vedlikeholderne avgjør hvem som skal involveres. Vi hjelper med å kontakte relevante aktører, inngå avtaler om informasjonsdeling og samordne teamene. En distributør kan tilpasse en rettelse til en eldre versjon, en vertsleverandør kan teste et avbøtende tiltak, og en sikkerhetsleverandør kan forberede tiltak for oppdagelse eller forebygging, blant annet regler for brannmurer for nettapplikasjoner (WAF).
Samordne med myndighetspartnere for å beskytte kritiske systemer. Offentlige etater spiller en avgjørende rolle i å samordne en bredere innsats og sørge for at sikkerhetsveiledning når organisasjoner med ansvar for kritisk infrastruktur og andre samfunnsviktige tjenester. I PHP-saken arbeidet vi sammen med partnerne våre for å involvere flere deler av amerikanske myndigheter, blant annet Det hvite hus’ Super Intelligence Force, Office of the National Cyber Director (ONCD) og Cybersecurity and Infrastructure Security Agency (CISA), samt internasjonale partnere, for å støtte dette arbeidet.
Forbered oppdateringer for berørte produkter. Etter hvert som rettelsen, veiledningen og planene for offentliggjøring blir avklart, kan vedlikeholderne involvere flere distributører, verts- og tjenesteleverandører, responsteam og driftsansvarlige for å forberede oppdateringer og dekke hull i beskyttelsen.
Publiser veiledning og støtt utrullingen når en rettelse er tilgjengelig. Offentlig veiledning hjelper folk med å vurdere hvor utsatt de er, finne offisielle oppdateringer eller midlertidige avbøtende tiltak og kontrollere at rettelsen er tatt i bruk. Innsatsen fortsetter mens driftsansvarlige ruller ut oppdateringer og melder fra om hvor de trenger hjelp.
Det foreslåtte rammeverket tar hensyn til organisasjonens rolle i beskyttelsesarbeidet, blant annet vern av egne systemer og kunder, tiden den trenger for å handle, og evnen til å håndtere sensitiv informasjon. De samme kriteriene vil gjelde for sammenlignbare organisasjoner, og vedlikeholderne avgjør hvem som skal involveres før offentliggjøringen.
Hver deltaker får informasjonen de trenger for å utføre beskyttelsesarbeidet sitt, fra nettverkslogger med indikatorer på kompromittering til mer sensitiv, fungerende kode som demonstrerer utnyttelse av sårbarheten. Selv begrensede detaljer kan avsløre en sårbarhet, så vi veier risikoen ved å dele dem opp mot beskyttelsen de muliggjør.
Team som følger dette rammeverket, vil samarbeide med vedlikeholdere for å gi sikkerhetsaktører tid til å forberede seg. De vil revurdere tidsplanen ved aktiv utnyttelse i reelle angrep, lekkasjer, offentlige rettelser som avslører sårbarheten, eller økt risiko for brukerne fordi utbedringen har stoppet opp.
Nettstedet til Patch the Planet(åpnes i et nytt vindu) samler offentliggjorte sårbarheter og veiledning for å hjelpe driftsansvarlige med å identifisere berørte systemer, finne riktig oppdatering og kontrollere at den oppdaterte programvaren fungerer som den skal. For PHP viser nettstedet til vedlikeholdernes offisielle rettelse og oppgraderingsinstruksjoner samt partnernes tekniske forskning. Veiledningen dekker også midlertidige avbøtende tiltak, når en leverandør eller ekspert bør involveres, samt sikkerhetskopiering og gjenoppretting. Midlertidige beskyttelsestiltak kan redusere risikoen, men vi vil tydeliggjøre begrensningene og de driftsmessige avveiningene.
Driftsansvarlige kan bruke CISAs veiledning om prioritering og utbedring(åpnes i et nytt vindu) til å vurdere hvor raskt de må handle, basert på eksponering, utnyttelse og mulige konsekvenser. Det kan bety hasteoppdateringer, umiddelbare avbøtende tiltak eller en planlagt oppdatering, sammen med en innledende digital etterforskning der det er grunn til å undersøke om systemene allerede er kompromittert. Prioriteringene bør revurderes når forholdene endrer seg, med en klar plan for varig utbedring.
Global samordning er avhengig av dem som vedlikeholder programvaren. Mange prosjekter drives av små team som vurderer sikkerhetsrapporter ved siden av det vanlige utviklingsarbeidet. Disse teamene trenger hjelp til å skille nye problemer fra duplikater, vurdere konsekvenser og teste rettelser på tvers av støttede versjoner. Vi støtter dette arbeidet med finansiering, tilgang til sterke modeller og praktisk teknisk hjelp.
Kraftig KI utvikles stadig videre i hele bransjen, og vi forventer at KI får en voksende rolle i å hjelpe sikkerhetsaktører med å finne sårbarheter, overvåke systemer og håndtere trusler. Vi investerer i modeller, verktøy og partnerskap for å hjelpe sikkerhetsaktører med å ta disse evnene i bruk.
Investeringene våre omfatter abonnementer for alle vedlikeholdere gjennom Codex for OSS og direkte støtte til prosjekter som Rust Foundation(åpnes i et nytt vindu), til vedlikeholdere og teknisk arbeid. Hvert prosjekt fastsetter sine egne prioriteringer. Gjenbrukbare tester og arbeidsflyter for sikkerhet kan redusere arbeidet med å håndtere fremtidige funn. Prosjekter med åpen kildekode kan søke Patch the Planet(åpnes i et nytt vindu) om praktisk støtte.
Vi kalibrerer også flere klassifikatorer for blokkering i Daybreak for å redusere mulighetene for misbruk. Dette innebærer vanskelige avveininger: Sikkerhetstiltak som skal hindre misbruk, kan også blokkere legitimt sikkerhetsarbeid. Både bred tilgang til sterke modeller og effektiv beskyttelse mot misbruk er avgjørende. Målet vårt er å bevare evnene sikkerhetsaktører trenger for å finne og rette sårbarheter, samtidig som vi begrenser skadelig bruk. Vi vil fortsette å finjustere denne balansen etter hvert som evnene utvikles og vi lærer av hvordan verktøyene brukes.
Etter hvert som modellene blir mer kapable, strekker mulighetene seg utover det å finne og rette enkeltsårbarheter. Vi vil hjelpe utviklere med å bygge sikrere programvare fra starten av. Forbedringer i en mye brukt komponent kan forebygge feil eller begrense konsekvensene på tvers av mange produkter og tjenester.
KI kan hjelpe utviklere med å forstå eksisterende kode, forberede endringer og utvikle tester, mens vedlikeholdere og sikkerhetseksperter bekrefter at endringene bevarer funksjonaliteten brukerne er avhengige av. Vi ser muligheter på flere områder:
Sikker kode fra starten av. Kodemodeller kan hjelpe utviklere med å velge sikrere standardinnstillinger, bruke sikkerhetsbiblioteker riktig og oppdage risikable mønstre mens de skriver kode. Å forebygge sårbarheter under utviklingen betyr færre hasterettelser for vedlikeholdere og brukere.
Minnesikker programvare. Å flytte kritiske komponenter til minnesikre språk kan eliminere vanlige kategorier av minnefeil. KI kan hjelpe med migreringer, med tester og ekspertgjennomgang som kontrollerer virkemåte og kompatibilitet.
Formell verifikasjon. Matematiske bevis kan vise at kritiske komponenter oppfyller bestemte sikkerhetsegenskaper under gitte forutsetninger. Å bruke disse metodene på mye brukte komponenter kan bidra til å utelukke hele kategorier av sårbarheter i tjenestene og den kritiske infrastrukturen som er avhengig av dem.
Sterkere isolasjon. Systemer trenger beskyttelse mot sårbarheter som ennå ikke er funnet eller rettet. Når programvare som behandler ikke-klarerte filer, bilder eller medier kjøres i strengt avgrensede sandkasser, kan det begrense skaden hvis programvaren blir kompromittert. KI kan hjelpe utviklere med å teste og styrke mye brukte sandkasseteknologier og dermed forbedre beskyttelsen i mange applikasjoner.
Vi deler tilnærmingen vår slik at vedlikeholdere, forskere, responsteam, leverandører og driftsansvarlige kan bidra til at den fungerer i praksis. Vi vil forstå hvor den kan være til hjelp, hvor den kan føre til forsinkelser eller merarbeid, og hva vi har oversett. Eksempler fra tidligere offentliggjøringer vil være spesielt nyttige.
Vi er særlig interessert i:
Tid frem til offentliggjøring. Hvor mye tid trenger vedlikeholdere, driftsansvarlige og sikkerhetsaktører for å forberede og rulle ut pålitelige rettelser? Hvilke holdepunkter bør utløse tidligere offentliggjøring, særlig når noen brukere kan beskyttes før andre?
Hasteoppdateringer. Når, om noen gang, bør myndigheter eller andre driftsansvarlige utnytte en sårbarhet for å rette systemer de eier eller har fullmakt til å administrere, etter å ha mistet administratortilgangen? Hvilke sikkerhetstiltak bør gjelde? Vi kan se for oss en fremtid der hele internett skannes kontinuerlig for kjente sårbarheter, og der nettstedseiere enten varsles når en sårbarhet oppdages, eller systemet blir rettet.
Tidlig varsling. Hvem trenger forhåndsvarsel for å kunne iverksette nyttige beskyttelsestiltak, inkludert sikkerhetsaktører vi kanskje overser? Når fungerer trinnvis varsling bedre enn å varsle en større gruppe samtidig, og hvordan bør vi veie bred dekning opp mot lekkasjerisiko?
Programvarepakker som er sikre som standard. Hvordan kan vi bidra til å identifisere og rette sårbarheter i avledede pakker mens vi venter på rettelser i kildeprosjektet, eller tilpasse rettelser til eldre versjoner som ikke lenger får sikkerhetsoppdateringer? Hvilken testing og hvilket vedlikehold vil gjøre disse pakkene til pålitelige alternativer når en oppgradering ikke lar seg gjennomføre i tide?
Vi tar også gjerne imot anbefalinger om uavhengige sikkerhetseksperter som kan gjennomgå tilnærmingen, utfordre forutsetningene og avdekke mangler. Innspillene dine vil hjelpe oss med å forbedre responsen og prioritere støtten. Del tilbakemeldingene dine her(åpnes i et nytt vindu).
