Patch the Planet: răspuns global la vulnerabilitățile critice descoperite de agenți
În ultimele două luni, am condus o coaliție de echipe de mentenanță, cercetători și furnizori de securitate pentru a remedia vulnerabilități critice în PHP, un limbaj de programare open-source folosit pentru rularea site-urilor și aplicațiilor web. Calif a identificat o deficiență critică folosind GPT‑5.6 Sol în cadrul inițiativei noastre Patch the Planet(se deschide într-o fereastră nouă). Wiz a descoperit și raportat independent ambele vulnerabilități. Echipa de mentenanță PHP a coordonat remedierea și lansarea actualizărilor. Echipele noastre și parteneri precum Wiz, Cloudflare și alții au contribuit cu cercetare, asistență tehnică și coordonare pentru a pregăti măsuri de protecție înainte de dezvăluirea publică.
Pentru organizațiile care folosesc PHP, prioritatea este acum aplicarea remedierilor. Punem la dispoziție un instrument de verificare a versiunii PHP ca abilitate Codex(se deschide într-o fereastră nouă) pentru a ajuta operatorii să identifice versiunile PHP potențial vulnerabile și să stabilească actualizările necesare, consultând și recomandările PHP și ale furnizorilor lor.
Având în vedere gravitatea acestor deficiențe și utilizarea pe scară largă a PHP, considerăm că aceasta este una dintre problemele de securitate cu cel mai mare impact din ultimii ani. Cazul arată cum AI poate descoperi deficiențe de securitate cu impact la scara internetului, dar aceleași capacități pot ajuta și atacatorii să dezvolte rapid instrumente ofensive și exploituri.
Din câte știm, AI de vârf a descoperit aceste vulnerabilități înaintea atacatorilor, oferind o fereastră de oportunitate pentru apărători, în care echipele de mentenanță și furnizorii de securitate au putut pregăti remedieri și protecții înainte de dezvăluirea publică.
Pentru ca mai mulți specialiști în apărare cibernetică să folosească aceste capacități, ne-am angajat să alocăm 1 miliard $ pentru acces subvenționat la Daybreak prin Daybreak for Frontline Defenders, vizând organizațiile care protejează servicii esențiale cu resurse de securitate limitate.
Oricât de grave ar fi, aceste erori sunt doar câteva dintre vulnerabilitățile importante pe care le-am descoperit deja și la a căror remediere lucrăm. Ne așteptăm ca descoperirile similare să crească vertiginos în lunile următoare. Pe baza experienței de până acum, propunem o abordare adaptată erei AI pentru gestionarea vulnerabilităților critice din software-ul utilizat pe scară largă și invităm comunitatea de securitate să ne ajute să îmbunătățim acest cadru. Acesta reunește modelele noastre, expertiza în securitate și echipele de mentenanță pentru a transforma descoperirile în protecție și a construi un răspuns care să țină pasul cu evoluția capacităților AI.
Punerea în aplicare a unei remedieri poate presupune adaptarea ei pentru versiuni mai vechi, pregătirea măsurilor de atenuare la nivelul furnizorilor și actualizarea sistemelor din numeroase organizații. Un proces repetabil ajută aceste echipe să acționeze rapid pe măsură ce sunt descoperite noi vulnerabilități.
Prin Patch the Planet, am oferit expertiză în securitate și acces la modele pentru a sprijini răspunsul PHP și am colaborat cu echipa de mentenanță și partenerii de cercetare pentru a testa remedierile și a pregăti recomandări. Am contribuit și la coordonarea cu furnizorii de infrastructură pentru protejarea sistemelor afectate și am implicat agenții guvernamentale de securitate cibernetică pentru ca recomandările să ajungă la organizațiile esențiale. Astfel, am sprijinit răspunsul coordonat de echipa de mentenanță și am ajutat alți specialiști în apărare cibernetică să se pregătească.
Pentru unele descoperiri, cercetătorii pot colabora direct cu echipa de mentenanță a software-ului pentru a investiga problema și a dezvolta o remediere. Altele necesită un răspuns mai amplu, deoarece afectează multe produse sau distribuitorii și furnizorii de servicii au nevoie de timp pentru a pregăti actualizări și protecții. Timpul poate fi limitat dacă avansul capacităților de vârf față de cele disponibile pe scară largă este mic. În aceste cazuri, cadrul propus poate ajuta echipele de mentenanță să stabilească cine trebuie implicat și să coordoneze activitatea. Răspunsul poate cuprinde cinci etape:
Validarea și remedierea vulnerabilității în proiectul sursă. Echipa de mentenanță, cercetătorii și partenerii tehnici esențiali confirmă descoperirea, îi evaluează impactul și dezvoltă și testează o remediere. Procesul include testare adversarială cu modele de vârf pentru a căuta modalități de ocolire a corecției și variante înrudite ale vulnerabilității.
Acordarea timpului necesar organizațiilor afectate pentru a acționa. Propunem un cadru pentru evaluarea organizațiilor care au nevoie de informații în avans pentru a pregăti protecții, decizia privind implicarea lor revenind echipelor de mentenanță. Ajutăm la contactarea organizațiilor, la acordurile de schimb de informații și la coordonarea echipelor. Un distribuitor ar putea adapta o remediere pentru o versiune mai veche, un furnizor de găzduire ar putea testa o măsură de atenuare, iar un furnizor de securitate ar putea pregăti măsuri de detectare sau prevenire, inclusiv reguli pentru firewall-uri de aplicații web (WAF).
Coordonarea cu partenerii guvernamentali pentru protejarea sistemelor critice. Agențiile guvernamentale au un rol esențial în coordonarea unui răspuns mai amplu și în transmiterea recomandărilor de securitate către organizațiile responsabile de infrastructura critică și alte servicii esențiale. În cazul PHP, am colaborat cu partenerii noștri pentru a implica mai multe structuri guvernamentale americane, inclusiv Super Intelligence Force din cadrul Casei Albe, Biroul Directorului Național pentru Securitate Cibernetică (ONCD) și Agenția pentru Securitate Cibernetică și Securitatea Infrastructurii (CISA), precum și parteneri internaționali, în sprijinul acestui efort.
Pregătirea actualizărilor pentru toate produsele afectate. Pe măsură ce remedierea, recomandările și planurile de dezvăluire se definitivează, echipele de mentenanță pot implica alți distribuitori, furnizori de găzduire și servicii, echipe de intervenție și operatori pentru a pregăti actualizări și a acoperi lacunele de protecție.
Publicarea recomandărilor și sprijinirea implementării odată ce corecția este disponibilă. Recomandările publice îi ajută pe utilizatori să-și evalueze expunerea, să găsească actualizări din surse autorizate sau măsuri temporare de atenuare și să verifice că remedierea este activă. Intervenția continuă pe măsură ce operatorii implementează actualizările și semnalează unde au nevoie de ajutor.
Cadrul propus ia în considerare rolul de protecție al organizației, inclusiv protejarea propriilor sisteme și clienți, timpul necesar pentru a acționa și capacitatea de a gestiona informații sensibile. Aceleași criterii s-ar aplica organizațiilor comparabile, echipele de mentenanță stabilind pe cine să implice înainte de dezvăluirea publică.
Fiecare participant primește informațiile necesare activității sale de protecție, de la jurnale de rețea cu indicatori de compromitere până la exploituri demonstrative funcționale, mai sensibile. Chiar și detaliile limitate pot dezvălui o vulnerabilitate, așa că evaluăm riscul partajării lor în raport cu protecția pe care o permit.
Echipele care ar urma acest cadru ar colabora cu responsabilii de mentenanță pentru a oferi timp de pregătire apărătorilor și ar reevalua calendarul în caz de exploatare activă în atacuri reale, scurgeri de informații, corecții publice care dezvăluie vulnerabilitatea sau riscuri sporite pentru utilizatori din cauza blocării remedierii.
Site-ul web Patch the Planet(se deschide într-o fereastră nouă) reunește dezvăluiri publice și recomandări pentru a ajuta operatorii să identifice sistemele afectate, să găsească actualizarea potrivită și să verifice funcționarea corectă a software-ului actualizat. Pentru PHP, site-ul trimite la corecția oficială și instrucțiunile de actualizare ale echipei de mentenanță, precum și la cercetările tehnice ale partenerilor noștri. Recomandările acoperă și măsurile temporare de atenuare, situațiile în care trebuie implicat un furnizor sau expert, precum și backupul și recuperarea. Protecțiile temporare pot reduce riscul, dar le vom explica clar limitele și compromisurile operaționale.
Operatorii pot folosi recomandările CISA privind prioritizarea și remedierea(se deschide într-o fereastră nouă) pentru a stabili cât de repede să acționeze, în funcție de expunere, exploatare și impactul potențial. Aceasta poate însemna aplicarea urgentă a corecțiilor, atenuarea imediată a riscului sau o actualizare planificată, alături de o evaluare criminalistică inițială, când se justifică, pentru a stabili dacă sistemele au fost deja compromise. Prioritățile trebuie reevaluate odată cu schimbarea condițiilor, păstrând o cale clară către o remediere durabilă.
Coordonarea globală depinde de oamenii care asigură mentenanța software-ului. Multe proiecte sunt gestionate de echipe mici, care analizează rapoartele de securitate în paralel cu activitatea curentă de dezvoltare. Aceste echipe au nevoie de ajutor pentru a distinge problemele noi de cele deja raportate, a evalua impactul și a testa remedierile în toate versiunile pentru care se oferă asistență. Sprijinim această activitate prin finanțare, acces la modele performante și asistență tehnică practică.
Capacitățile AI avansează în întreaga industrie și ne așteptăm ca AI să joace un rol tot mai important în sprijinirea specialiștilor în apărare cibernetică pentru a găsi vulnerabilități, a monitoriza sisteme și a răspunde amenințărilor. Investim în modele, instrumente și parteneriate pentru a ajuta acești specialiști să valorifice capacitățile respective.
Investițiile noastre includ abonamente pentru toți responsabilii de mentenanță prin Codex for OSS și sponsorizarea directă a unor proiecte precum Fundația Rust(se deschide într-o fereastră nouă), pentru susținerea echipelor de mentenanță și a activității tehnice. Fiecare proiect își stabilește propriile priorități. Testele și fluxurile de lucru de securitate reutilizabile pot reduce efortul necesar pentru gestionarea descoperirilor viitoare. Proiectele open-source pot solicita sprijin prin Patch the Planet(se deschide într-o fereastră nouă) pentru a beneficia de asistență practică.
Calibrăm și clasificatoare suplimentare de blocare pentru Daybreak, pentru a reduce potențialul de utilizare abuzivă. Acest lucru implică compromisuri dificile: măsurile menite să prevină abuzul pot bloca și activități legitime de securitate. Atât accesul larg la modele performante, cât și protecția eficientă împotriva abuzului sunt esențiale. Scopul nostru este să păstrăm capacitățile de care specialiștii în apărare cibernetică au nevoie pentru a găsi și remedia vulnerabilități, limitând totodată utilizarea dăunătoare. Vom continua să ajustăm acest echilibru pe măsură ce capacitățile avansează și învățăm din modul în care sunt folosite aceste instrumente.
Pe măsură ce modelele devin mai performante, oportunitățile depășesc identificarea și remedierea vulnerabilităților individuale. Vrem să ajutăm inginerii să creeze software mai sigur de la bun început. Îmbunătățirea unei componente utilizate pe scară largă poate preveni erori sau le poate limita impactul în numeroase produse și servicii.
AI poate ajuta inginerii să înțeleagă codul existent, să pregătească modificări și să dezvolte teste, în timp ce echipele de mentenanță și experții în securitate verifică dacă modificările păstrează comportamentul pe care se bazează utilizatorii. Vedem oportunități în mai multe direcții:
Cod sigur de la bun început. Modelele de programare pot ajuta dezvoltatorii să aleagă setări implicite mai sigure, să folosească corect bibliotecile de securitate și să detecteze tipare riscante în timp ce scriu cod. Prevenirea vulnerabilităților în timpul dezvoltării înseamnă mai puține remedieri de urgență pentru echipele de mentenanță și utilizatori.
Software cu gestionare sigură a memoriei. Migrarea componentelor critice către limbaje cu gestionare sigură a memoriei poate elimina categorii frecvente de erori de memorie. AI poate ajuta la migrare, iar testele și analiza experților pot verifica funcționarea și compatibilitatea.
Verificare formală. Demonstrațiile matematice pot arăta că, în condițiile ipotezelor declarate, componentele critice îndeplinesc proprietățile de securitate specificate. Aplicarea acestor metode la componente utilizate pe scară largă ar putea elimina categorii întregi de vulnerabilități din serviciile și infrastructura critică ce depind de ele.
Izolare mai robustă. Sistemele au nevoie de protecție împotriva vulnerabilităților care nu au fost încă descoperite sau remediate. Rularea software-ului care procesează fișiere, imagini sau conținut media din surse nesigure în medii izolate, cu restricții stricte, poate limita pagubele în cazul compromiterii acestuia. AI poate ajuta inginerii să testeze și să consolideze tehnologiile de izolare utilizate pe scară largă, îmbunătățind protecția în numeroase aplicații.
Prezentăm abordarea noastră pentru ca echipele de mentenanță, cercetătorii, echipele de intervenție, furnizorii și operatorii să contribuie la aplicabilitatea ei practică. Vrem să înțelegem unde ar fi utilă, unde ar putea provoca întârzieri sau sarcini suplimentare și ce ne-a scăpat. Exemplele din dezvăluiri anterioare ar fi deosebit de utile.
Ne interesează în special:
Intervalele până la dezvăluirea publică. De cât timp au nevoie echipele de mentenanță, operatorii și specialiștii în apărare cibernetică pentru a pregăti și implementa remedieri fiabile? Ce dovezi ar trebui să determine o dezvăluire mai timpurie, mai ales când unii utilizatori pot fi protejați mai repede decât alții?
Aplicarea corecțiilor de urgență. În ce situații, dacă există, ar trebui guvernele sau alți operatori să exploateze o vulnerabilitate pentru a aplica corecții sistemelor pe care le dețin sau pe care sunt autorizați să le administreze, după ce au pierdut accesul administrativ? Ce măsuri de protecție ar trebui aplicate? Ne putem imagina un scenariu final cu scanare permanentă a întregului internet pentru vulnerabilități cunoscute și, la detectarea uneia, fie notificarea proprietarilor site-ului, fie aplicarea unei corecții sistemului.
Notificarea în avans. Cine are nevoie de avertizare în avans pentru a lua măsuri utile de protecție, inclusiv dintre specialiștii în apărare cibernetică pe care i-am putea omite? Când funcționează notificările etapizate mai bine decât notificarea simultană a unui grup mai larg și cum ar trebui să cântărim amploarea acoperirii față de riscul scurgerilor de informații?
Pachete software sigure în mod implicit. Cum putem ajuta la identificarea și remedierea vulnerabilităților din pachetele derivate, cât timp se așteaptă remedieri în proiectele sursă, sau la adaptarea remedierilor pentru versiuni mai vechi, care nu mai primesc actualizări de securitate? Ce teste și activități de mentenanță ar face aceste pachete opțiuni fiabile atunci când o actualizare la timp nu este fezabilă?
Primim cu interes și recomandări de experți independenți în securitate care să analizeze abordarea, să-i pună la încercare ipotezele și să identifice lacune. Contribuțiile voastre ne vor ajuta să perfecționăm răspunsul și să stabilim prioritățile de sprijin. Trimiteți-ne feedback aici(se deschide într-o fereastră nouă).
