Patch the Planet: resposta global a vulnerabilidades críticas descobertas por agentes
Nos últimos dois meses, liderámos uma coligação de equipas de manutenção, investigadores e fornecedores de segurança para corrigir vulnerabilidades críticas no PHP, uma linguagem de programação de código aberto usada em sites e aplicações Web. A Calif identificou uma falha crítica com o GPT‑5.6 Sol no âmbito da nossa iniciativa Patch the Planet(abre numa nova janela). A Wiz também descobriu e comunicou ambas as vulnerabilidades de forma independente. A equipa de manutenção do PHP liderou as correções e o lançamento. As nossas equipas e parceiros como a Wiz, a Cloudflare e outros contribuíram com investigação, apoio técnico e coordenação para preparar proteções antes da divulgação.
Para as organizações que usam PHP, a prioridade agora é aplicar as correções. Partilhamos um verificador de versões do PHP como competência do Codex(abre numa nova janela) para ajudar os operadores a identificar versões potencialmente vulneráveis e, com as orientações do PHP e dos seus fornecedores, determinar que atualizações aplicar.
Dada a gravidade destas falhas e a utilização generalizada do PHP, consideramos este um dos problemas de segurança com maior impacto dos últimos tempos. Este caso mostra como a IA pode descobrir falhas de segurança com impacto à escala da Internet, mas as mesmas capacidades também podem ajudar atacantes a desenvolver rapidamente ferramentas ofensivas e exploits.
Tanto quanto sabemos, a IA de fronteira encontrou estas vulnerabilidades antes dos atacantes, abrindo uma janela de oportunidade para os defensores, na qual as equipas de manutenção e os fornecedores de segurança puderam preparar correções e proteções antes da divulgação.
Para ajudar mais defensores a usar estas capacidades, comprometemo-nos a subsidiar mil milhões de dólares em acesso ao Daybreak através do Daybreak para Defensores da Linha da Frente, destinado a organizações com recursos de segurança limitados que protegem serviços essenciais.
Apesar da sua gravidade, estas falhas são apenas algumas das várias vulnerabilidades importantes que já encontrámos e estamos a corrigir. Prevemos um forte aumento de descobertas semelhantes nos próximos meses. Com base na experiência que adquirimos, partilhamos uma proposta de abordagem, adequada à era da IA, para responder a vulnerabilidades críticas em software amplamente utilizado. Pedimos à comunidade de segurança que nos ajude a melhorar este modelo de atuação. Esta abordagem reúne os nossos modelos, conhecimentos de segurança e equipas de manutenção para transformar descobertas em proteção e criar uma resposta capaz de crescer à medida que a IA avança.
Pôr uma correção em prática pode exigir a sua adaptação a versões antigas, a preparação de medidas de mitigação pelos fornecedores e a atualização de sistemas em muitas organizações. Um processo repetível ajuda estas equipas a agir rapidamente à medida que se descobrem mais vulnerabilidades.
Através do Patch the Planet, contribuímos com conhecimentos de segurança e acesso a modelos para apoiar a resposta do PHP. Trabalhámos também com a equipa de manutenção e parceiros de investigação para testar correções e preparar orientações. Ajudámos ainda a coordenar proteções para os sistemas afetados com fornecedores de infraestruturas e envolvemos agências governamentais de cibersegurança para levar as orientações a organizações críticas. Este trabalho apoiou a resposta liderada pela equipa de manutenção e ajudou outros defensores a prepararem-se.
Em alguns casos, os investigadores podem trabalhar diretamente com os responsáveis pela manutenção do software para investigar o problema e desenvolver uma correção. Outros exigem uma resposta mais ampla, porque afetam muitos produtos ou porque os distribuidores e prestadores de serviços precisam de tempo para preparar atualizações e proteções. Esse tempo pode ser escasso se as capacidades de fronteira não estiverem muito à frente das que estão amplamente disponíveis. Nesses casos, o modelo de atuação proposto pode ajudar as equipas de manutenção a identificar quem deve participar e a coordenar o trabalho. A resposta pode envolver cinco etapas:
Validar e corrigir a vulnerabilidade no projeto de origem. A equipa de manutenção, os investigadores e os parceiros técnicos essenciais confirmam a descoberta, avaliam o impacto e desenvolvem e testam uma correção. Este processo inclui testes adversariais com modelos de fronteira para procurar formas de contornar a correção e variantes relacionadas da vulnerabilidade.
Dar tempo às organizações afetadas para agir. Propomos um modelo de atuação para avaliar que organizações precisam de informação antecipada para preparar proteções, cabendo às equipas de manutenção decidir quem envolver. Ajudamos a estabelecer contactos, acordos de partilha de informação e coordenação entre equipas. Um distribuidor pode adaptar uma correção a uma versão antiga, um fornecedor de alojamento pode testar uma mitigação e um fornecedor de segurança pode preparar medidas de deteção ou prevenção, incluindo regras de firewall de aplicações Web (WAF).
Coordenar com parceiros governamentais a proteção de sistemas críticos. As agências governamentais têm um papel essencial na coordenação de uma resposta mais ampla e na transmissão de orientações de segurança às organizações responsáveis por infraestruturas críticas e outros serviços essenciais. No caso do PHP, colaborámos com os nossos parceiros para envolver várias entidades do governo dos EUA, incluindo a Força de Superinteligência da Casa Branca, o Gabinete do Diretor Nacional de Cibersegurança (ONCD) e a Agência de Cibersegurança e Segurança das Infraestruturas (CISA), bem como parceiros internacionais, para apoiar esse esforço.
Preparar atualizações para os produtos afetados. À medida que a correção, as orientações e os planos de divulgação se consolidam, as equipas de manutenção podem envolver mais distribuidores, fornecedores de alojamento e serviços, equipas de resposta e operadores para preparar atualizações e colmatar lacunas de cobertura.
Publicar orientações e apoiar a aplicação da correção assim que esteja disponível. As orientações públicas ajudam a avaliar a exposição, a encontrar atualizações oficiais ou mitigações provisórias e a verificar se a correção está em funcionamento. A resposta continua à medida que os operadores aplicam atualizações e comunicam onde precisam de ajuda.
O modelo de atuação proposto considera o papel de proteção de cada organização, incluindo dos seus próprios sistemas e clientes, o tempo necessário para agir e a sua capacidade de lidar com informação sensível. Os mesmos critérios seriam aplicados a organizações comparáveis, cabendo às equipas de manutenção decidir quem envolver antes da divulgação.
Cada participante recebe a informação necessária para o seu trabalho de proteção, desde registos de rede com indicadores de comprometimento até exploits funcionais de prova de conceito, mais sensíveis. Mesmo detalhes limitados podem revelar uma vulnerabilidade, pelo que ponderamos o risco de os partilhar face à proteção que permitem.
As equipas que sigam este modelo trabalhariam com os responsáveis pela manutenção para dar aos defensores tempo de preparação e reavaliar os prazos em caso de exploração ativa em sistemas reais, fuga de informação, correção pública reveladora ou maior risco para os utilizadores devido a atrasos na resolução.
O site do Patch the Planet(abre numa nova janela) reúne divulgações públicas e orientações para ajudar os operadores a identificar sistemas afetados, encontrar a atualização certa e verificar se o software atualizado funciona corretamente. Para o PHP, disponibiliza ligações para a correção oficial e as instruções de atualização da equipa de manutenção, bem como para a investigação técnica dos nossos parceiros. As orientações abrangem também mitigações provisórias, quando recorrer a um fornecedor ou especialista, cópias de segurança e recuperação. As proteções provisórias podem reduzir o risco, mas deixaremos claros os seus limites e os compromissos operacionais que implicam.
Os operadores podem usar as orientações da CISA sobre prioridades e correção de vulnerabilidades(abre numa nova janela) para avaliar a urgência da ação com base na exposição, na exploração e no potencial impacto. Isso pode exigir uma correção de emergência, uma mitigação imediata ou uma atualização planeada, acompanhada de triagem forense, quando se justifique, para avaliar se os sistemas já foram comprometidos. As prioridades devem ser reavaliadas quando as condições mudam, com um caminho claro para uma resolução duradoura.
A coordenação global depende de quem mantém o software. Muitos projetos são geridos por pequenas equipas que analisam relatórios de segurança a par do trabalho habitual de desenvolvimento. Estas equipas precisam de ajuda para distinguir novos problemas de duplicados, avaliar o impacto e testar correções nas versões com suporte. Apoiamos esse trabalho com financiamento, acesso a modelos competentes e apoio prático de engenharia.
As capacidades avançadas de IA estão a progredir em todo o setor. Prevemos que a IA tenha um papel crescente no apoio aos defensores para encontrar vulnerabilidades, monitorizar sistemas e responder a ameaças. Estamos a investir em modelos, ferramentas e parcerias para ajudar os defensores a pôr essas capacidades em prática.
Os nossos investimentos incluem subscrições para todos os responsáveis pela manutenção através do Codex para OSS e o patrocínio direto de projetos como a Rust Foundation(abre numa nova janela), para apoiar as equipas de manutenção e o trabalho técnico. Cada projeto define as suas prioridades. Testes e fluxos de trabalho de segurança reutilizáveis podem reduzir o esforço necessário para lidar com futuras descobertas. Os projetos de código aberto podem candidatar-se ao Patch the Planet(abre numa nova janela) para receber apoio prático.
Estamos também a calibrar classificadores de bloqueio adicionais para o Daybreak, para ajudar a reduzir o potencial de utilização indevida. Isto exige escolhas difíceis: as salvaguardas destinadas a impedir abusos também podem bloquear trabalho legítimo de segurança. Tanto o acesso alargado a modelos competentes como as proteções eficazes contra a utilização indevida são essenciais. O nosso objetivo é preservar as capacidades de que os defensores precisam para encontrar e corrigir vulnerabilidades, limitando ao mesmo tempo a utilização nociva. Continuaremos a ajustar esse equilíbrio à medida que as capacidades avançam e aprendemos com a utilização destas ferramentas.
À medida que os modelos se tornam mais capazes, as oportunidades vão além de encontrar e corrigir vulnerabilidades individuais. Queremos ajudar os engenheiros a criar software mais seguro desde o início. Melhorar um componente amplamente utilizado pode evitar falhas ou limitar o seu impacto em muitos produtos e serviços.
A IA pode ajudar os engenheiros a compreender o código existente, preparar alterações e desenvolver testes, enquanto as equipas de manutenção e os especialistas em segurança verificam se essas alterações preservam o comportamento de que os utilizadores dependem. Vemos oportunidades em várias áreas:
Código seguro desde o início. Os modelos de programação podem ajudar os programadores a escolher predefinições mais seguras, a usar corretamente bibliotecas de segurança e a detetar padrões de risco enquanto escrevem código. Prevenir vulnerabilidades durante o desenvolvimento significa menos correções de emergência para as equipas de manutenção e os utilizadores.
Software com segurança de memória. Migrar componentes críticos para linguagens com segurança de memória pode eliminar categorias comuns de erros de memória. A IA pode ajudar nas migrações, com testes e revisão por especialistas para verificar o comportamento e a compatibilidade.
Verificação formal. As provas matemáticas podem demonstrar que componentes críticos cumprem propriedades de segurança especificadas, sob pressupostos definidos. Aplicar estes métodos a componentes amplamente utilizados pode ajudar a eliminar categorias de vulnerabilidades nos serviços e infraestruturas críticas que deles dependem.
Isolamento mais robusto. Os sistemas precisam de proteção contra vulnerabilidades ainda não descobertas ou corrigidas. Executar software que processa ficheiros, imagens ou conteúdos multimédia não fidedignos em ambientes isolados com fortes restrições pode limitar os danos caso esse software seja comprometido. A IA pode ajudar os engenheiros a testar e reforçar tecnologias de isolamento amplamente utilizadas, melhorando a proteção de muitas aplicações.
Partilhamos a nossa abordagem para que equipas de manutenção, investigadores, equipas de resposta, fornecedores e operadores possam ajudar a torná-la viável. Queremos perceber onde seria útil, onde poderia causar atrasos ou sobrecarga e o que nos escapou. Exemplos de divulgações anteriores seriam especialmente úteis.
Temos particular interesse nos seguintes temas:
Prazos de divulgação. De quanto tempo precisam as equipas de manutenção, os operadores e os defensores para preparar e aplicar correções fiáveis? Que indícios devem levar a antecipar a divulgação, sobretudo quando alguns utilizadores podem ser protegidos antes de outros?
Correções de emergência. Em que circunstâncias, se é que existem, devem os governos ou outros operadores explorar uma vulnerabilidade para corrigir sistemas que lhes pertencem ou que estão autorizados a gerir, após perderem o acesso administrativo? Que salvaguardas devem ser aplicadas? Podemos imaginar um cenário futuro de análise contínua de toda a Internet à procura de vulnerabilidades conhecidas, em que se notificam os proprietários dos sites quando uma é detetada ou se corrige o sistema.
Aviso prévio. Quem precisa de ser avisado com antecedência para tomar medidas de proteção úteis, incluindo defensores que possamos não ter considerado? Quando funcionam melhor as notificações faseadas do que a notificação simultânea de um grupo mais amplo? Como devemos ponderar a cobertura face ao risco de fuga de informação?
Pacotes de software seguros por predefinição. Como podemos ajudar a identificar e corrigir vulnerabilidades em pacotes derivados enquanto as correções no projeto de origem estão pendentes, ou adaptar correções a versões antigas que já não recebem atualizações de segurança? Que testes e manutenção tornariam estes pacotes opções fiáveis quando não é viável atualizar atempadamente?
Também agradecemos recomendações de especialistas independentes em segurança que possam rever a abordagem, questionar os seus pressupostos e identificar lacunas. O seu contributo ajudar-nos-á a aperfeiçoar a resposta e a definir prioridades de apoio. Partilhe a sua opinião aqui(abre numa nova janela).
