Patch the Planet: globálna koordinácia reakcie na kritické zraniteľnosti odhalené agentmi

Za posledné dva mesiace sme viedli koalíciu správcov, výskumníkov a poskytovateľov bezpečnostných riešení s cieľom odstrániť kritické zraniteľnosti v PHP, programovacom jazyku s otvoreným zdrojovým kódom, na ktorom fungujú weby a webové aplikácie. Spoločnosť Calif odhalila kritickú chybu pomocou GPT‑5.6 Sol v rámci našej iniciatívy Patch the Planet⁠(otvorí sa v novom okne). Obe zraniteľnosti nezávisle objavila a nahlásila aj spoločnosť Wiz. Správcovia PHP viedli prípravu a vydanie opráv. Naše tímy a partneri ako Wiz, Cloudflare a ďalší prispeli výskumom, technickou podporou a koordináciou, aby boli ochranné opatrenia pripravené ešte pred zverejnením.

Pre organizácie používajúce PHP je teraz prioritou nasadiť opravy. Zverejňujeme nástroj na kontrolu verzie PHP ako zručnosť pre Codex⁠(otvorí sa v novom okne) na pomoc prevádzkovateľom pri identifikácii potenciálne zraniteľných verzií PHP a určení potrebných aktualizácií podľa pokynov PHP a ich poskytovateľov.

Vzhľadom na závažnosť týchto chýb a rozšírenosť PHP to považujeme za jeden z bezpečnostných problémov s najväčším dosahom za posledné roky. Ukazuje to, ako dokáže AI odhaliť bezpečnostné chyby s dosahom na celý internet. Rovnaké schopnosti však môžu pomôcť aj útočníkom rýchlo vyvíjať útočné nástroje a exploity.

Pokiaľ vieme, prelomová AI našla tieto zraniteľnosti skôr než útočníci. Vytvorila tak časové okno pre obrancov, počas ktorého mohli správcovia a poskytovatelia bezpečnostných riešení pripraviť opravy a ochranu pred zverejnením.

Aby tieto schopnosti mohlo využívať viac obrancov, vyčlenili sme 1 miliardu dolárov na dotovaný prístup k Daybreak prostredníctvom programu Daybreak pre obrancov v prvej línii. Zameriava sa na organizácie, ktoré chránia základné služby a majú obmedzené zdroje na bezpečnosť.

Hoci sú tieto chyby závažné, patria k viacerým významným zraniteľnostiam, ktoré sme už našli a pracujeme na ich odstránení. V najbližších mesiacoch očakávame prudký nárast podobných nálezov. Na základe doterajších skúseností predstavujeme návrh prístupu k riešeniu kritických zraniteľností v rozšírenom softvéri, ktorý zodpovedá ére AI. Bezpečnostnú komunitu žiadame o pomoc pri jeho zdokonaľovaní. Spája naše modely, bezpečnostné znalosti a správcov, aby sa nálezy pretavili do ochrany a aby reakcia na ne dokázala držať krok s rastúcimi schopnosťami AI.

Nasadenie opravy môže vyžadovať jej prispôsobenie starším vydaniam, prípravu zmierňujúcich opatrení u poskytovateľov a aktualizáciu systémov v mnohých organizáciách. Opakovateľný postup pomáha týmto tímom rýchlo konať pri objavovaní ďalších zraniteľností.

V rámci Patch the Planet sme podporili riešenie zraniteľností PHP bezpečnostnými znalosťami a prístupom k modelom. So správcami a výskumnými partnermi sme testovali opravy a pripravovali pokyny. Pomáhali sme tiež koordinovať ochranu dotknutých systémov s poskytovateľmi infraštruktúry a zapojili sme štátne agentúry pre kybernetickú bezpečnosť, aby sa pokyny dostali ku kľúčovým organizáciám. Tým sme podporili reakciu vedenú správcami a pomohli ostatným obrancom pripraviť sa.

Pri niektorých nálezoch môžu výskumníci spolupracovať priamo so správcami softvéru na preskúmaní problému a vývoji opravy. Iné si vyžadujú širšiu reakciu, pretože zasahujú mnoho produktov alebo distribútori a poskytovatelia služieb potrebujú čas na prípravu aktualizácií a ochrany. Toho môže byť málo, ak prelomové schopnosti nemajú veľký náskok pred bežne dostupnými. V takých prípadoch môže navrhovaný rámec pomôcť správcom určiť, koho treba zapojiť, a koordinovať prácu. Reakcia môže zahŕňať päť fáz:

• Overiť a opraviť zraniteľnosť v pôvodnom projekte. Správca, výskumníci a kľúčoví technickí partneri potvrdia nález, posúdia jeho dosah a vyvinú a otestujú opravu. Súčasťou je aj testovanie simulovanými útokmi pomocou prelomových modelov, ktoré hľadá spôsoby obídenia opravy a príbuzné varianty zraniteľnosti.

• Dať dotknutým organizáciám čas konať. Navrhujeme rámec na posúdenie, ktoré organizácie potrebujú informácie vopred na prípravu ochrany. O tom, koho zapojiť, rozhodujú správcovia. Pomáhame s oslovovaním, dohodami o zdieľaní informácií a koordináciou medzi tímami. Distribútor môže prispôsobiť opravu staršiemu vydaniu, poskytovateľ hostingu otestovať zmierňujúce opatrenie a poskytovateľ bezpečnostných riešení pripraviť detekciu či prevenciu vrátane pravidiel firewallu webových aplikácií (WAF).

• Koordinovať ochranu kritických systémov so štátnymi partnermi. Štátne agentúry zohrávajú zásadnú úlohu pri koordinácii širšej reakcie a sprostredkovaní bezpečnostných pokynov organizáciám zodpovedným za kritickú infraštruktúru a ďalšie základné služby. V prípade PHP sme sa spolu s partnermi usilovali zapojiť viaceré zložky vlády USA vrátane tímu Bieleho domu pre superinteligenciu, Úradu národného riaditeľa pre kybernetickú bezpečnosť (ONCD) a Agentúry pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA), ako aj medzinárodných partnerov.

• Pripraviť aktualizácie pre dotknuté produkty. Keď sa oprava, pokyny a plány zverejnenia ustália, správcovia môžu zapojiť ďalších distribútorov, poskytovateľov hostingu a služieb, zásahové tímy a prevádzkovateľov, aby pripravili aktualizácie a odstránili medzery v pokrytí.

• Po sprístupnení opravy zverejniť pokyny a podporiť jej nasadenie. Verejné pokyny pomáhajú ľuďom posúdiť mieru ohrozenia, nájsť oficiálne aktualizácie či dočasné zmierňujúce opatrenia a overiť, že je oprava nasadená. Reakcia pokračuje, kým prevádzkovatelia nasadzujú aktualizácie a hlásia, kde potrebujú pomoc.

Navrhovaný rámec zohľadňuje ochrannú úlohu organizácie vrátane ochrany jej systémov a zákazníkov, čas potrebný na konanie a schopnosť zaobchádzať s citlivými informáciami. Na porovnateľné organizácie by sa vzťahovali rovnaké kritériá, pričom o zapojení pred zverejnením by rozhodovali správcovia.

Každý účastník dostane informácie potrebné na zabezpečenie ochrany, od sieťových záznamov s indikátormi kompromitácie až po citlivejšie funkčné exploity demonštrujúce zneužitie zraniteľnosti. Aj obmedzené detaily môžu odhaliť zraniteľnosť, preto riziko ich zdieľania porovnávame s ochranou, ktorú umožňujú.

Tímy postupujúce podľa tohto rámca by spolu so správcami poskytli obrancom čas na prípravu. Harmonogram by prehodnotili pri aktívnom zneužívaní v praxi, úniku informácií, verejnej oprave odhaľujúcej zraniteľnosť alebo zvýšení rizika pre používateľov pre viaznucu nápravu.

Web Patch the Planet⁠(otvorí sa v novom okne) zhromažďuje verejné oznámenia a pokyny, ktoré prevádzkovateľom pomáhajú identifikovať dotknuté systémy, nájsť správnu aktualizáciu a overiť, že aktualizovaný softvér funguje správne. Pri PHP odkazuje na oficiálnu opravu a pokyny správcov na prechod na novšiu verziu, ako aj na technický výskum našich partnerov. Pokyny zahŕňajú aj dočasné zmierňujúce opatrenia, odporúčania, kedy zapojiť poskytovateľa či odborníka, a zálohovanie a obnovu. Dočasná ochrana môže znížiť riziko, no jasne uvedieme jej obmedzenia a prevádzkové kompromisy.

Prevádzkovatelia môžu pomocou pokynov CISA na určenie priorít a nápravu⁠(otvorí sa v novom okne) posúdiť naliehavosť konania podľa miery ohrozenia, zneužívania a možného dosahu. To môže znamenať núdzové nasadenie opravy, okamžité zmiernenie rizika alebo plánovanú aktualizáciu. V odôvodnených prípadoch aj prvotné forenzné posúdenie, či už boli systémy kompromitované. Priority treba prehodnocovať podľa meniacich sa podmienok a zachovať jasný postup k trvalej náprave.

Globálna koordinácia závisí od ľudí, ktorí sa starajú o softvér. Mnohé projekty vedú malé tímy, ktoré popri bežnom vývoji posudzujú aj bezpečnostné hlásenia. Tieto tímy potrebujú pomoc s odlíšením nových problémov od duplicitných hlásení, posúdením dosahu a testovaním opráv v podporovaných vydaniach. Túto prácu podporujeme financovaním, prístupom k výkonným modelom a priamou technickou pomocou.

Výkonné schopnosti AI sa rozvíjajú v celom odvetví. Očakávame, že AI bude čoraz viac pomáhať obrancom hľadať zraniteľnosti, monitorovať systémy a reagovať na hrozby. Investujeme do modelov, nástrojov a partnerstiev, ktoré obrancom pomôžu tieto schopnosti využiť.

Naše investície zahŕňajú predplatné pre všetkých správcov prostredníctvom programu Codex pre OSS aj priamu sponzorskú podporu projektov, ako je Rust Foundation⁠(otvorí sa v novom okne), určenú správcom a na technickú prácu. Každý projekt si určuje vlastné priority. Opakovane použiteľné testy a bezpečnostné postupy môžu znížiť náročnosť riešenia budúcich nálezov. Projekty s otvoreným zdrojovým kódom sa môžu prihlásiť do Patch the Planet⁠(otvorí sa v novom okne) a požiadať o priamu pomoc.

Pre Daybreak tiež dolaďujeme ďalšie blokovacie klasifikátory, aby sme znížili možnosti zneužitia. Vyžaduje si to náročné kompromisy: opatrenia proti zneužitiu môžu blokovať aj legitímnu bezpečnostnú prácu. Široký prístup k výkonným modelom aj účinná ochrana pred zneužitím sú zásadné. Naším cieľom je zachovať schopnosti, ktoré obrancovia potrebujú na hľadanie a opravu zraniteľností, a zároveň obmedziť škodlivé využitie. Túto rovnováhu budeme naďalej dolaďovať podľa rozvoja schopností a skúseností s používaním týchto nástrojov.

S rastúcimi schopnosťami modelov sa možnosti rozširujú aj za hranice hľadania a opravy jednotlivých zraniteľností. Chceme vývojárom pomôcť vytvárať bezpečnejší softvér od samého začiatku. Zlepšenia široko používaného komponentu môžu predísť chybám alebo obmedziť ich dosah v mnohých produktoch a službách.

AI môže vývojárom pomôcť pochopiť existujúci kód, pripraviť zmeny a vytvoriť testy. Správcovia a bezpečnostní odborníci pritom overujú, že zmeny zachovávajú fungovanie, na ktoré sa používatelia spoliehajú. Príležitosti vidíme vo viacerých oblastiach:

• Bezpečný kód od začiatku. Modely na programovanie môžu vývojárom pomôcť zvoliť bezpečnejšie predvolené nastavenia, správne používať bezpečnostné knižnice a zachytiť rizikové postupy už pri písaní kódu. Predchádzanie zraniteľnostiam počas vývoja znamená menej núdzových opráv pre správcov aj používateľov.

• Softvér s bezpečnou prácou s pamäťou. Prechod kritických komponentov na jazyky s bezpečnou prácou s pamäťou môže odstrániť bežné triedy pamäťových chýb. AI môže pomôcť pri migráciách, pričom testy a odborné posúdenie overia fungovanie a kompatibilitu.

• Formálne overovanie. Matematické dôkazy môžu preukázať, že kritické komponenty za stanovených predpokladov spĺňajú určené bezpečnostné vlastnosti. Použitie týchto metód na rozšírené komponenty by mohlo pomôcť vylúčiť celé triedy zraniteľností v službách a kritickej infraštruktúre, ktoré od nich závisia.

• Dôslednejšia izolácia. Systémy potrebujú ochranu aj pred zraniteľnosťami, ktoré ešte neboli objavené alebo opravené. Spúšťanie softvéru, ktorý spracúva nedôveryhodné súbory, obrázky či médiá, v prísne obmedzených izolovaných prostrediach môže znížiť škody pri jeho kompromitácii. AI môže vývojárom pomôcť testovať a posilňovať rozšírené technológie izolácie, a tým zlepšiť ochranu v mnohých aplikáciách.

Náš prístup zverejňujeme, aby správcovia, výskumníci, zásahové tímy, poskytovatelia a prevádzkovatelia mohli pomôcť zabezpečiť jeho použiteľnosť v praxi. Chceme pochopiť, kde by pomohol, kde by mohol spôsobiť zdržanie či záťaž a čo sme prehliadli. Obzvlášť užitočné by boli príklady z predchádzajúcich zverejnení zraniteľností.

Zaujímajú nás najmä tieto témy:

• Lehoty pred zverejnením. Koľko času potrebujú správcovia, prevádzkovatelia a obrancovia na prípravu a nasadenie spoľahlivých opráv? Aké dôkazy by mali viesť k skoršiemu zverejneniu, najmä ak možno niektorých používateľov ochrániť skôr než iných?

• Núdzové nasadzovanie opráv. Kedy, ak vôbec, by štátne orgány či iní prevádzkovatelia mali využiť zraniteľnosť na opravu systémov, ktoré vlastnia alebo sú oprávnení spravovať, ak k nim stratili administrátorský prístup? Aké ochranné opatrenia by pri tom mali platiť? Vieme si predstaviť konečný stav, v ktorom by celý internet nepretržite prechádzal kontrolou známych zraniteľností a pri ich zistení by systém buď upozornil vlastníkov webov, alebo vykonal opravu.

• Včasné upozornenie. Kto potrebuje upozornenie vopred, aby mohol prijať účinné ochranné opatrenie, vrátane obrancov, na ktorých by sme mohli zabudnúť? Kedy funguje postupné informovanie lepšie než oznámenie širšej skupine naraz a ako máme vyvažovať rozsah pokrytia a riziko úniku informácií?

• Softvérové balíky bezpečné už v predvolenom nastavení. Ako môžeme pomôcť hľadať a opravovať zraniteľnosti v odvodených balíkoch, kým sa čaká na opravy v pôvodnom projekte, alebo prenášať opravy do starších verzií, ktoré už nedostávajú bezpečnostné aktualizácie? Aké testovanie a údržba by z týchto balíkov urobili spoľahlivú alternatívu, keď včasný prechod na novšiu verziu nie je možný?

Uvítame aj odporúčania na nezávislých bezpečnostných odborníkov, ktorí môžu prístup posúdiť, kriticky preveriť jeho predpoklady a odhaliť nedostatky. Vaše podnety nám pomôžu doladiť reakciu a určiť priority podpory. Podeľte sa o spätnú väzbu tu⁠(otvorí sa v novom okne).