Under de senaste två månaderna har vi lett ett samarbete mellan programvaruförvaltare, forskare och säkerhetsleverantörer för att åtgärda kritiska sårbarheter i PHP, ett programmeringsspråk med öppen källkod som används för att driva webbplatser och webbapplikationer. Calif identifierade en kritisk brist med hjälp av GPT‑5.6 Sol inom vårt initiativ Patch the Planet(öppnas i ett nytt fönster). Även Wiz upptäckte och rapporterade båda sårbarheterna oberoende av detta. PHP:s förvaltare ledde arbetet med rättningarna och lanseringen. Våra team och partner som Wiz, Cloudflare och andra bidrog med forskning, tekniskt stöd och samordning för att förbereda skydd inför offentliggörandet.
För organisationer som använder PHP är det nu viktigast att installera rättningarna. Vi delar ett verktyg för PHP-versionskontroll som en Codex-färdighet(öppnas i ett nytt fönster) för att hjälpa driftansvariga att identifiera potentiellt sårbara PHP-versioner och, med stöd av vägledningen från PHP och deras leverantörer, avgöra vilka uppdateringar som behövs.
Med tanke på bristernas allvar och PHP:s utbredda användning ser vi detta som ett av de mest betydande säkerhetsproblemen på senare tid. Det visar hur AI kan upptäcka säkerhetsbrister med konsekvenser över hela internet, men samma förmågor kan också hjälpa angripare att snabbt utveckla angreppsverktyg och exploateringskod.
Såvitt vi vet upptäckte banbrytande AI dessa sårbarheter innan angriparna gjorde det. Det gav försvararna ett tidsfönster där förvaltare och säkerhetsleverantörer kunde förbereda rättningar och skydd inför offentliggörandet.
För att hjälpa fler försvarare att använda dessa förmågor har vi avsatt 1 miljard dollar till subventionerad tillgång till Daybreak genom Daybreak for Frontline Defenders, med fokus på organisationer som skyddar samhällsviktiga tjänster med begränsade säkerhetsresurser.
Hur allvarliga dessa buggar än är, hör de till flera betydande sårbarheter som vi redan har upptäckt och arbetar med att åtgärda. Vi förväntar oss att liknande fynd blir betydligt vanligare under de kommande månaderna. Utifrån våra erfarenheter hittills presenterar vi ett förslag på hur kritiska sårbarheter i utbredd programvara kan hanteras i AI-eran. Vi ber säkerhetsgemenskapen att hjälpa oss förbättra detta ramverk. Det för samman våra modeller, säkerhetsexpertis och förvaltare för att omsätta fynd i skydd och bygga upp en insatsförmåga som kan skalas upp i takt med att AI:s förmågor utvecklas.
Att få en rättning i bruk kan kräva att den anpassas till äldre versioner, att leverantörer förbereder skyddsåtgärder och att system uppdateras i många organisationer. En återanvändbar process hjälper dessa team att agera snabbt när fler sårbarheter upptäcks.
Genom Patch the Planet bidrog vi med säkerhetsexpertis och tillgång till modeller för att stödja PHP-insatsen. Vi samarbetade också med förvaltare och forskningspartner för att testa rättningar och ta fram vägledning. Vi hjälpte även till att samordna skydd för berörda system med infrastrukturleverantörer och involverade cybersäkerhetsmyndigheter för att hjälpa vägledningen att nå samhällsviktiga organisationer. Detta stödde den förvaltarledda insatsen och hjälpte andra försvarare att förbereda sig.
Vid vissa fynd kan forskare arbeta direkt med programvarans förvaltare för att undersöka problemet och ta fram en rättning. Andra kräver en bredare insats eftersom de berör många produkter, eller för att distributörer och tjänsteleverantörer behöver tid att förbereda uppdateringar och skydd. Tiden kan vara knapp om banbrytande förmågor inte ligger särskilt långt före dem som är allmänt tillgängliga. I sådana fall kan det föreslagna ramverket hjälpa förvaltare att avgöra vilka som behöver involveras och samordna arbetet. Insatsen kan omfatta fem steg:
Bekräfta och åtgärda sårbarheten i ursprungsprojektet. Förvaltaren, forskarna och centrala tekniska partner bekräftar fyndet, bedömer dess konsekvenser samt utvecklar och testar en rättning. Processen omfattar tester ur ett angriparperspektiv med banbrytande modeller för att hitta sätt att kringgå rättningen och närbesläktade varianter av sårbarheten.
Ge berörda organisationer tid att agera. Vi föreslår ett ramverk för att bedöma vilka organisationer som behöver förhandsinformation för att förbereda skydd, medan förvaltarna avgör vilka som ska involveras. Vi hjälper till med kontakter, avtal om informationsdelning och samordning mellan team. En distributör kan anpassa en rättning till en äldre version, en hostingleverantör kan testa en skyddsåtgärd och en säkerhetsleverantör kan förbereda åtgärder för upptäckt eller förebyggande, däribland regler för webbapplikationsbrandväggar (WAF).
Samordna med myndighetspartner för att bidra till att skydda kritiska system. Myndigheter har en avgörande roll i att samordna en bredare insats och hjälpa säkerhetsvägledning att nå organisationer som ansvarar för kritisk infrastruktur och andra samhällsviktiga tjänster. I PHP-fallet arbetade vi tillsammans med våra partner för att involvera flera delar av USA:s statsförvaltning, däribland Vita husets Super Intelligence Force, Office of the National Cyber Director (ONCD) och Cybersecurity and Infrastructure Security Agency (CISA), samt internationella partner för att stödja insatsen.
Förbered uppdateringar för berörda produkter. När rättningen, vägledningen och planerna för offentliggörandet börjar ta fast form kan förvaltarna involvera fler distributörer, hosting- och tjänsteleverantörer, incidenthanteringsteam och driftansvariga för att förbereda uppdateringar och täppa till luckor i skyddet.
Publicera vägledning och stöd utrullningen när en rättning finns tillgänglig. Offentlig vägledning hjälper användare att bedöma sin exponering, hitta uppdateringar från tillförlitliga källor eller tillfälliga skyddsåtgärder och kontrollera att en rättning är i drift. Insatsen fortsätter medan driftansvariga installerar uppdateringar och rapporterar var de behöver hjälp.
Det föreslagna ramverket tar hänsyn till organisationens skyddande roll, inklusive skyddet av egna system och kunder, hur lång tid den behöver för att agera och dess förmåga att hantera känslig information. Samma kriterier skulle gälla för jämförbara organisationer, och förvaltarna skulle avgöra vilka som involveras före offentliggörandet.
Varje deltagare får den information som behövs för skyddsarbetet, från nätverksloggar med intrångsindikatorer till känsligare, fungerande demonstrationskod för exploatering. Även begränsade detaljer kan avslöja en sårbarhet, så vi väger risken med att dela dem mot det skydd de möjliggör.
Team som följer ramverket skulle samarbeta med förvaltarna för att ge försvararna tid att förbereda sig och ompröva tidsplanen vid aktivt utnyttjande i verkliga angrepp, en läcka, en offentlig rättning som avslöjar sårbarheten eller ökad risk för användarna på grund av att åtgärdsarbetet har stannat av.
Webbplatsen Patch the Planet(öppnas i ett nytt fönster) samlar offentliggjorda sårbarheter och vägledning för att hjälpa driftansvariga att identifiera berörda system, hitta rätt uppdatering och verifiera att den uppdaterade programvaran fungerar som den ska. För PHP hänvisar den till förvaltarnas officiella rättning och uppgraderingsanvisningar samt våra partners tekniska forskning. Vägledningen omfattar även tillfälliga skyddsåtgärder, när en leverantör eller expert bör involveras samt säkerhetskopiering och återställning. Tillfälliga skydd kan minska risken, men vi kommer att tydliggöra deras begränsningar och de avvägningar de kräver i driften.
Driftansvariga kan använda CISA:s vägledning om prioritering och åtgärder(öppnas i ett nytt fönster) för att bedöma hur snabbt de behöver agera utifrån exponering, utnyttjande och möjliga konsekvenser. Det kan innebära akuta rättningar, omedelbara skyddsåtgärder eller en planerad uppdatering. Vid behov bör även en inledande forensisk bedömning göras för att avgöra om systemen redan har utsatts för intrång. Prioriteringarna bör omprövas när förhållandena förändras, med en tydlig väg mot en varaktig lösning.
Global samordning är beroende av de personer som underhåller programvaran. Många projekt drivs av små team som granskar säkerhetsrapporter vid sidan av det löpande utvecklingsarbetet. Dessa team behöver hjälp med att skilja nya problem från dubbletter, bedöma konsekvenser och testa rättningar i de versioner som stöds. Vi stöder arbetet med finansiering, tillgång till kompetenta modeller och praktisk teknisk hjälp.
Kraftfulla AI-förmågor utvecklas i hela branschen, och vi förväntar oss att AI får en allt större roll i att hjälpa försvarare att hitta sårbarheter, övervaka system och hantera hot. Vi investerar i modeller, verktyg och partnerskap för att hjälpa försvarare att använda dessa förmågor i praktiken.
Våra satsningar omfattar abonnemang för alla förvaltare genom Codex för OSS och direkt sponsring av projekt som Rust Foundation(öppnas i ett nytt fönster) för att stödja förvaltare och tekniskt arbete. Varje projekt gör sina egna prioriteringar. Återanvändbara tester och säkerhetsarbetsflöden kan minska arbetet med att hantera framtida fynd. Projekt med öppen källkod kan ansöka till Patch the Planet(öppnas i ett nytt fönster) om praktiskt stöd.
Vi kalibrerar också ytterligare klassificerare med blockeringsfunktion för Daybreak för att minska risken för missbruk. Detta innebär svåra avvägningar: skydd som ska förhindra missbruk kan också blockera legitimt säkerhetsarbete. Både bred tillgång till kompetenta modeller och effektiva skydd mot missbruk är avgörande. Vårt mål är att bevara de förmågor som försvarare behöver för att hitta och åtgärda sårbarheter, samtidigt som vi begränsar skadlig användning. Vi fortsätter att finjustera den balansen i takt med att förmågorna utvecklas och vi lär oss mer om hur verktygen används.
När modellerna blir mer kompetenta öppnas möjligheter som sträcker sig längre än att hitta och åtgärda enskilda sårbarheter. Vi vill hjälpa utvecklare att bygga säkrare programvara från början. Förbättringar i en komponent med stor spridning kan förebygga buggar eller begränsa deras konsekvenser i många produkter och tjänster.
AI kan hjälpa utvecklare att förstå befintlig kod, förbereda ändringar och ta fram tester, medan förvaltare och säkerhetsexperter verifierar att ändringarna bevarar den funktion som användarna förlitar sig på. Vi ser möjligheter inom flera områden:
Säker kod från början. Kodningsmodeller kan hjälpa utvecklare att välja säkrare standardinställningar, använda säkerhetsbibliotek korrekt och upptäcka riskabla mönster medan de skriver kod. Att förebygga sårbarheter under utvecklingen innebär färre akuta rättningar för förvaltare och användare.
Minnessäker programvara. Att flytta kritiska komponenter till minnessäkra språk kan eliminera vanliga kategorier av minnesfel. AI kan hjälpa till med migreringar, där tester och expertgranskning används för att kontrollera funktion och kompatibilitet.
Formell verifiering. Matematiska bevis kan visa att kritiska komponenter uppfyller specificerade säkerhetsegenskaper under angivna antaganden. Om dessa metoder används på komponenter med stor spridning kan de bidra till att utesluta hela kategorier av sårbarheter i de tjänster och den kritiska infrastruktur som är beroende av dem.
Starkare isolering. System behöver skydd mot sårbarheter som ännu inte har upptäckts eller åtgärdats. Om programvara som bearbetar filer, bilder eller medier från icke betrodda källor körs i strikt begränsade sandlådor kan skadorna begränsas vid ett intrång. AI kan hjälpa utvecklare att testa och stärka utbredd sandlådeteknik och därmed förbättra skyddet i många applikationer.
Vi delar vårt arbetssätt så att förvaltare, forskare, incidenthanteringsteam, leverantörer och driftansvariga kan hjälpa till att få det att fungera i praktiken. Vi vill förstå var det skulle hjälpa, var det skulle kunna orsaka förseningar eller merarbete och vad vi har missat. Exempel från tidigare offentliggöranden av sårbarheter skulle vara särskilt värdefulla.
Vi är särskilt intresserade av:
Tidsramar för offentliggörande. Hur mycket tid behöver förvaltare, driftansvariga och försvarare för att förbereda och installera tillförlitliga rättningar? Vilka belägg bör leda till ett tidigare offentliggörande, särskilt när vissa användare kan skyddas tidigare än andra?
Akuta rättningar. När, om någonsin, bör myndigheter eller andra driftansvariga utnyttja en sårbarhet för att installera rättningar i system som de äger eller har rätt att förvalta, efter att ha förlorat administratörsåtkomsten? Vilka skyddsåtgärder bör gälla? Vi kan föreställa oss ett framtida läge med ständig skanning av hela internet efter kända sårbarheter, där webbplatsägare antingen underrättas när en sårbarhet upptäcks eller där systemet får en rättning.
Förhandsinformation. Vilka behöver förvarnas för att kunna vidta verksamma skyddsåtgärder, inklusive försvarare som vi riskerar att förbise? När fungerar stegvisa underrättelser bättre än att informera en större grupp samtidigt, och hur bör vi väga räckvidden mot risken för läckor?
Programvarupaket som är säkra som standard. Hur kan vi hjälpa till att identifiera och åtgärda sårbarheter i vidareutvecklade paket i väntan på rättningar i ursprungsprojektet, eller anpassa rättningar till äldre versioner som inte längre får säkerhetsuppdateringar? Vilken testning och vilket underhåll skulle göra dessa paket till tillförlitliga alternativ när en uppgradering inte kan genomföras i tid?
Vi tar också gärna emot rekommendationer på oberoende säkerhetsexperter som kan granska arbetssättet, ifrågasätta dess antaganden och identifiera luckor. Dina synpunkter hjälper oss att förbättra insatsen och prioritera stödet. Dela dina synpunkter här(öppnas i ett nytt fönster).
