Patch the Planet: ประสานการรับมือทั่วโลกเมื่อเอเจนต์พบช่องโหว่ร้ายแรง

ตลอดสองเดือนที่ผ่านมา เราเป็นผู้นำเครือข่ายผู้ดูแลโครงการ นักวิจัย และผู้ให้บริการความปลอดภัย เพื่อแก้ไขช่องโหว่ร้ายแรงใน PHP ซึ่งเป็นภาษาโปรแกรมโอเพนซอร์สที่ใช้ขับเคลื่อนเว็บไซต์และเว็บแอปพลิเคชัน Calif ใช้ GPT‑5.6 Sol ค้นพบข้อบกพร่องร้ายแรงภายใต้โครงการ Patch the Planet⁠(เปิดในหน้าต่างใหม่) ของเรา ขณะที่ Wiz ก็ค้นพบและรายงานช่องโหว่ทั้งสองด้วยตนเองเช่นกัน ผู้ดูแล PHP เป็นผู้นำการแก้ไขและเผยแพร่รุ่นอัปเดต โดยทีมของเราและพันธมิตร เช่น Wiz, Cloudflare และรายอื่นๆ ร่วมสนับสนุนงานวิจัย งานเทคนิค และการประสานงานเพื่อเตรียมการป้องกันก่อนเปิดเผยข้อมูล

สำหรับองค์กรที่ใช้ PHP สิ่งสำคัญที่สุดตอนนี้คือการติดตั้งแพตช์แก้ไข เราเผยแพร่เครื่องมือตรวจสอบเวอร์ชัน PHP ในรูปแบบทักษะของ Codex⁠(เปิดในหน้าต่างใหม่) เพื่อช่วยผู้ดูแลระบบระบุเวอร์ชัน PHP ที่อาจมีช่องโหว่ และใช้ร่วมกับคำแนะนำจาก PHP และผู้ให้บริการของตนเพื่อเลือกอัปเดตที่จำเป็น

ด้วยความร้ายแรงของข้อบกพร่องเหล่านี้และการใช้ PHP อย่างแพร่หลาย เราจึงมองว่านี่เป็นหนึ่งในปัญหาความปลอดภัยที่ส่งผลกระทบมากที่สุดในช่วงหลายปีที่ผ่านมา กรณีนี้แสดงให้เห็นว่า AI ค้นพบข้อบกพร่องด้านความปลอดภัยที่ส่งผลกระทบทั่วอินเทอร์เน็ตได้ แต่ความสามารถเดียวกันนี้ก็ช่วยให้ผู้โจมตีพัฒนาเครื่องมือโจมตีและวิธีเจาะช่องโหว่ได้อย่างรวดเร็วเช่นกัน

เท่าที่เราทราบ AI ระดับแนวหน้าพบช่องโหว่เหล่านี้ก่อนผู้โจมตี จึงเปิด ช่วงเวลาแห่งโอกาสของฝ่ายป้องกัน ให้ผู้ดูแลโครงการและผู้ให้บริการความปลอดภัยเตรียมแพตช์และมาตรการป้องกันก่อนเปิดเผยข้อมูล

เพื่อให้ฝ่ายป้องกันใช้ความสามารถเหล่านี้ได้มากขึ้น เรามุ่งมั่นสนับสนุนเงิน 1 พันล้านดอลลาร์เพื่ออุดหนุนการเข้าถึง Daybreak ผ่านโครงการ Daybreak สำหรับฝ่ายป้องกันแนวหน้า โดยเน้นองค์กรที่มีทรัพยากรด้านความปลอดภัยจำกัดและทำหน้าที่ปกป้องบริการที่จำเป็น

แม้บั๊กเหล่านี้จะร้ายแรง แต่ก็เป็นเพียงส่วนหนึ่งของช่องโหว่สำคัญหลายรายการที่เราพบและกำลังแก้ไข เราคาดว่าจะพบช่องโหว่ลักษณะนี้เพิ่มขึ้นอย่างมากในอีกไม่กี่เดือนข้างหน้า จากประสบการณ์ที่ผ่านมา เราขอเสนอแนวทางรับมือช่องโหว่ร้ายแรงในซอฟต์แวร์ที่ใช้กันอย่างแพร่หลายให้เหมาะกับยุค AI และขอให้ชุมชนความปลอดภัยช่วยปรับปรุงกรอบการทำงานนี้ แนวทางนี้ผสานโมเดลและความเชี่ยวชาญด้านความปลอดภัยของเราเข้ากับผู้ดูแลโครงการ เพื่อเปลี่ยนสิ่งที่ค้นพบให้เป็นการป้องกัน และสร้างการรับมือที่ขยายขนาดได้ตามความก้าวหน้าของ AI

การนำแพตช์ไปใช้จริงอาจต้องปรับให้รองรับรุ่นเก่า เตรียมมาตรการลดความเสี่ยงของผู้ให้บริการ และอัปเดตระบบในหลายองค์กร กระบวนการที่ใช้ซ้ำได้ช่วยให้ทีมเหล่านี้ลงมือได้รวดเร็วเมื่อพบช่องโหว่เพิ่มขึ้น

ผ่าน Patch the Planet เราสนับสนุนการรับมือของ PHP ด้วยความเชี่ยวชาญด้านความปลอดภัยและสิทธิ์เข้าถึงโมเดล พร้อมร่วมกับผู้ดูแลโครงการและพันธมิตรวิจัยทดสอบแพตช์และจัดทำคำแนะนำ เรายังช่วยประสานงานกับผู้ให้บริการโครงสร้างพื้นฐานเพื่อปกป้องระบบที่ได้รับผลกระทบ และติดต่อหน่วยงานไซเบอร์ภาครัฐเพื่อให้คำแนะนำเข้าถึงองค์กรสำคัญ งานนี้สนับสนุนการรับมือที่ผู้ดูแลโครงการเป็นผู้นำ และช่วยให้ฝ่ายป้องกันรายอื่นเตรียมพร้อม

สำหรับช่องโหว่บางรายการ นักวิจัยสามารถทำงานกับผู้ดูแลซอฟต์แวร์โดยตรงเพื่อตรวจสอบปัญหาและพัฒนาแพตช์ บางรายการต้องอาศัยการรับมือที่กว้างขึ้น เพราะกระทบหลายผลิตภัณฑ์ หรือเพราะผู้จัดจำหน่ายและผู้ให้บริการต้องใช้เวลาเตรียมอัปเดตและมาตรการป้องกัน ซึ่งอาจมีเวลาไม่มากหากความสามารถระดับแนวหน้าไม่ได้ล้ำหน้ากว่าความสามารถที่เข้าถึงได้ทั่วไปมากนัก ในกรณีเหล่านี้ กรอบที่เสนอจะช่วยให้ผู้ดูแลโครงการระบุผู้ที่ต้องมีส่วนร่วมและประสานงานได้ การรับมืออาจประกอบด้วย 5 ขั้นตอน:

• ยืนยันและแก้ไขช่องโหว่ในโครงการต้นทาง ผู้ดูแลโครงการ นักวิจัย และพันธมิตรด้านเทคนิคที่จำเป็นร่วมยืนยันสิ่งที่พบ ประเมินผลกระทบ และพัฒนาและทดสอบแพตช์ กระบวนการนี้รวมถึงการทดสอบเชิงโจมตีด้วยโมเดลระดับแนวหน้า เพื่อหาวิธีเลี่ยงแพตช์และช่องโหว่รูปแบบอื่นที่เกี่ยวข้อง

• ให้องค์กรที่ได้รับผลกระทบมีเวลาลงมือ เราเสนอกรอบพิจารณาว่าองค์กรใดต้องได้ข้อมูลล่วงหน้าเพื่อเตรียมการป้องกัน โดยผู้ดูแลโครงการเป็นผู้ตัดสินใจว่าจะให้ใครเข้าร่วม เราช่วยติดต่อ จัดทำข้อตกลงแบ่งปันข้อมูล และประสานงานระหว่างทีม ผู้จัดจำหน่ายอาจปรับแพตช์ให้ใช้กับรุ่นเก่า ผู้ให้บริการโฮสติ้งอาจทดสอบมาตรการลดความเสี่ยง และผู้ให้บริการความปลอดภัยอาจเตรียมมาตรการตรวจจับหรือป้องกัน รวมถึงกฎไฟร์วอลล์เว็บแอปพลิเคชัน (WAF)

• ประสานงานกับพันธมิตรภาครัฐเพื่อช่วยปกป้องระบบสำคัญ หน่วยงานภาครัฐมีบทบาทสำคัญในการประสานการรับมือในวงกว้าง และช่วยให้คำแนะนำด้านความปลอดภัยเข้าถึงองค์กรที่รับผิดชอบโครงสร้างพื้นฐานสำคัญและบริการจำเป็นอื่นๆ ในกรณี PHP เราร่วมกับพันธมิตรติดต่อหน่วยงานหลายส่วนของรัฐบาลสหรัฐฯ รวมถึงหน่วย Super Intelligence Force ของทำเนียบขาว สำนักงานผู้อำนวยการไซเบอร์แห่งชาติ (ONCD) สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐาน (CISA) ตลอดจนพันธมิตรนานาชาติเพื่อสนับสนุนงานนี้

• เตรียมอัปเดตสำหรับผลิตภัณฑ์ที่ได้รับผลกระทบ เมื่อแพตช์ คำแนะนำ และแผนเปิดเผยข้อมูลเริ่มลงตัว ผู้ดูแลโครงการสามารถให้ผู้จัดจำหน่าย ผู้ให้บริการโฮสติ้งและบริการต่างๆ ทีมรับมือ และผู้ดูแลระบบเพิ่มเติมเข้าร่วมเตรียมอัปเดตและอุดช่องว่างของการป้องกัน

• เมื่อแพตช์พร้อม ให้เผยแพร่คำแนะนำและสนับสนุนการติดตั้ง คำแนะนำสาธารณะช่วยให้ผู้ใช้ประเมินความเสี่ยง ค้นหาอัปเดตหรือมาตรการลดความเสี่ยงชั่วคราวจากแหล่งที่เชื่อถือได้ และตรวจสอบว่าแพตช์ทำงานแล้ว การรับมือยังดำเนินต่อไปขณะที่ผู้ดูแลระบบติดตั้งอัปเดตและแจ้งจุดที่ต้องการความช่วยเหลือ

กรอบที่เสนอนี้พิจารณาบทบาทด้านการป้องกันขององค์กร รวมถึงการปกป้องระบบและลูกค้าของตน เวลาที่ต้องใช้ดำเนินการ และความสามารถในการจัดการข้อมูลอ่อนไหว องค์กรที่มีลักษณะเทียบเคียงกันจะใช้เกณฑ์เดียวกัน โดยผู้ดูแลโครงการตัดสินใจว่าจะให้ใครเข้าร่วมก่อนเปิดเผยข้อมูล

ผู้เข้าร่วมแต่ละรายได้รับข้อมูลที่จำเป็นต่องานป้องกัน ตั้งแต่บันทึกเครือข่ายที่มีตัวบ่งชี้การบุกรุก ไปจนถึงโค้ดพิสูจน์แนวคิดการเจาะช่องโหว่ที่ใช้ได้จริงซึ่งมีความอ่อนไหวกว่า แม้ข้อมูลเพียงเล็กน้อยก็อาจเผยให้เห็นช่องโหว่ เราจึงชั่งน้ำหนักความเสี่ยงจากการแบ่งปันกับประโยชน์ด้านการป้องกันที่ได้

ทีมที่ใช้กรอบนี้จะร่วมกับผู้ดูแลโครงการให้เวลาฝ่ายป้องกันเตรียมตัว และทบทวนกำหนดการหากมีการโจมตีจริง ข้อมูลรั่วไหล แพตช์สาธารณะที่เผยช่องโหว่ หรือผู้ใช้เสี่ยงมากขึ้นเพราะการแก้ไขหยุดชะงัก

เว็บไซต์ Patch the Planet⁠(เปิดในหน้าต่างใหม่) รวบรวมข้อมูลที่เปิดเผยต่อสาธารณะและคำแนะนำ เพื่อช่วยผู้ดูแลระบบระบุระบบที่ได้รับผลกระทบ หาอัปเดตที่เหมาะสม และยืนยันว่าซอฟต์แวร์ที่อัปเดตทำงานได้ตามปกติ สำหรับ PHP เว็บไซต์เชื่อมไปยังแพตช์และวิธีอัปเกรดอย่างเป็นทางการจากผู้ดูแลโครงการ รวมถึงงานวิจัยทางเทคนิคของพันธมิตร คำแนะนำยังครอบคลุมมาตรการลดความเสี่ยงชั่วคราว เวลาที่ควรขอความช่วยเหลือจากผู้ให้บริการหรือผู้เชี่ยวชาญ และการสำรองและกู้คืนข้อมูล การป้องกันชั่วคราวช่วยลดความเสี่ยงได้ แต่เราจะชี้แจงข้อจำกัดและผลได้ผลเสียต่อการทำงานให้ชัดเจน

ผู้ดูแลระบบใช้คำแนะนำของ CISA ด้านการจัดลำดับความสำคัญและการแก้ไข⁠(เปิดในหน้าต่างใหม่)เพื่อประเมินว่าต้องลงมือเร็วเพียงใด โดยดูจากโอกาสถูกโจมตี การใช้ช่องโหว่โจมตี และผลกระทบที่อาจเกิดขึ้น แนวทางอาจเป็นการติดตั้งแพตช์ฉุกเฉิน ลดความเสี่ยงทันที หรืออัปเดตตามแผน พร้อมตรวจสอบหลักฐานดิจิทัลเบื้องต้นเมื่อมีเหตุอันควร เพื่อประเมินว่าระบบถูกบุกรุกแล้วหรือไม่ ควรทบทวนลำดับความสำคัญเมื่อสถานการณ์เปลี่ยนไป พร้อมมีแนวทางที่ชัดเจนสู่การแก้ไขอย่างยั่งยืน

การประสานงานทั่วโลกต้องอาศัยผู้ที่ดูแลซอฟต์แวร์ หลายโครงการดำเนินงานโดยทีมขนาดเล็กที่ต้องตรวจสอบรายงานความปลอดภัยควบคู่ไปกับงานพัฒนาตามปกติ ทีมเหล่านี้ต้องการความช่วยเหลือในการแยกปัญหาใหม่จากรายงานซ้ำ ประเมินผลกระทบ และทดสอบแพตช์กับทุกรุ่นที่ยังรองรับ เราสนับสนุนงานนี้ด้วยเงินทุน สิทธิ์เข้าถึงโมเดลที่มีความสามารถ และความช่วยเหลือด้านวิศวกรรมที่ลงมือทำจริง

ความสามารถอันทรงพลังของ AI กำลังก้าวหน้าทั่วทั้งอุตสาหกรรม และเราคาดว่า AI จะมีบทบาทมากขึ้นในการช่วยฝ่ายป้องกันค้นหาช่องโหว่ เฝ้าระวังระบบ และรับมือภัยคุกคาม เรากำลังลงทุนในโมเดล เครื่องมือ และความร่วมมือ เพื่อช่วยให้ฝ่ายป้องกันนำความสามารถเหล่านั้นมาใช้งาน

การลงทุนของเรารวมถึงสิทธิ์สมัครใช้บริการสำหรับผู้ดูแลโครงการทุกรายผ่าน Codex for OSS และการสนับสนุนโครงการโดยตรง เช่น มูลนิธิ Rust⁠(เปิดในหน้าต่างใหม่) เพื่อช่วยผู้ดูแลโครงการและงานด้านเทคนิค แต่ละโครงการกำหนดลำดับความสำคัญของตนเอง ชุดทดสอบและเวิร์กโฟลว์ด้านความปลอดภัยที่นำกลับมาใช้ได้ช่วยลดภาระในการจัดการช่องโหว่ที่พบในอนาคต โครงการโอเพนซอร์สสามารถสมัครเข้าร่วม Patch the Planet⁠(เปิดในหน้าต่างใหม่) เพื่อรับการสนับสนุนแบบลงมือทำจริง

เรายังปรับเทียบตัวจำแนกเพิ่มเติมสำหรับบล็อกการใช้งานใน Daybreak เพื่อช่วยลดโอกาสนำไปใช้ในทางที่ผิด เรื่องนี้ต้องชั่งน้ำหนักอย่างยากลำบาก เพราะมาตรการที่มุ่งป้องกันการใช้งานในทางที่ผิดอาจบล็อกงานด้านความปลอดภัยที่ชอบธรรมด้วย ทั้งการเข้าถึงโมเดลที่มีความสามารถอย่างทั่วถึงและการป้องกันการใช้ในทางที่ผิดอย่างได้ผลล้วนสำคัญยิ่ง เราเน้นรักษาความสามารถที่ฝ่ายป้องกันต้องใช้ค้นหาและแก้ไขช่องโหว่ พร้อมจำกัดการใช้งานที่เป็นอันตราย เราจะปรับสมดุลนี้ต่อไปเมื่อความสามารถก้าวหน้าขึ้นและเราเรียนรู้จากการใช้เครื่องมือเหล่านี้

เมื่อโมเดลมีความสามารถมากขึ้น โอกาสก็ไม่ได้จำกัดอยู่แค่การค้นหาและแก้ไขช่องโหว่ทีละรายการ เราต้องการช่วยวิศวกรสร้างซอฟต์แวร์ที่ปลอดภัยขึ้นตั้งแต่ต้น การปรับปรุงส่วนประกอบที่ใช้กันแพร่หลายช่วยป้องกันบั๊กหรือจำกัดผลกระทบในผลิตภัณฑ์และบริการจำนวนมากได้

AI ช่วยวิศวกรทำความเข้าใจโค้ดเดิม เตรียมการเปลี่ยนแปลง และพัฒนาชุดทดสอบได้ โดยผู้ดูแลโครงการและผู้เชี่ยวชาญความปลอดภัยจะตรวจสอบว่าการเปลี่ยนแปลงยังคงพฤติกรรมการทำงานที่ผู้ใช้พึ่งพา เราเห็นโอกาสในหลายด้าน:

• โค้ดที่ปลอดภัยตั้งแต่ต้น โมเดลเขียนโค้ดช่วยนักพัฒนาเลือกค่าเริ่มต้นที่ปลอดภัยกว่า ใช้ไลบรารีความปลอดภัยอย่างถูกต้อง และตรวจพบรูปแบบที่เสี่ยงขณะเขียนโค้ดได้ การป้องกันช่องโหว่ระหว่างพัฒนาช่วยให้ผู้ดูแลโครงการและผู้ใช้ต้องแก้ไขฉุกเฉินน้อยลง

• ซอฟต์แวร์ที่ปลอดภัยด้านหน่วยความจำ การย้ายส่วนประกอบสำคัญไปใช้ภาษาที่ปลอดภัยด้านหน่วยความจำช่วยขจัดข้อผิดพลาดเกี่ยวกับหน่วยความจำประเภทที่พบบ่อยได้ AI ช่วยในการย้ายได้ โดยใช้การทดสอบและการตรวจทานจากผู้เชี่ยวชาญเพื่อตรวจสอบพฤติกรรมการทำงานและความเข้ากันได้

• การทวนสอบแบบรูปนัย การพิสูจน์ทางคณิตศาสตร์แสดงได้ว่าส่วนประกอบสำคัญมีคุณสมบัติด้านความปลอดภัยตามที่กำหนด ภายใต้สมมติฐานที่ระบุ การนำวิธีเหล่านี้มาใช้กับส่วนประกอบที่แพร่หลายอาจช่วยขจัดช่องโหว่ทั้งประเภทในบริการและโครงสร้างพื้นฐานสำคัญที่พึ่งพาส่วนประกอบเหล่านั้น

• การแยกสภาพแวดล้อมที่รัดกุมขึ้น ระบบจำเป็นต้องมีการป้องกันช่องโหว่ที่ยังไม่ถูกค้นพบหรือแก้ไข การรันซอฟต์แวร์ที่ประมวลผลไฟล์ รูปภาพ หรือสื่อที่ไม่น่าเชื่อถือในแซนด์บ็อกซ์ที่จำกัดสิทธิ์อย่างเข้มงวด ช่วยจำกัดความเสียหายหากซอฟต์แวร์ถูกเจาะได้ AI ช่วยวิศวกรทดสอบและเสริมความแข็งแกร่งของเทคโนโลยีแซนด์บ็อกซ์ที่ใช้แพร่หลายได้ จึงช่วยเพิ่มการป้องกันให้แอปพลิเคชันจำนวนมาก

เราเผยแพร่แนวทางนี้เพื่อให้ผู้ดูแลโครงการ นักวิจัย ทีมรับมือ ผู้ให้บริการ และผู้ดูแลระบบร่วมกันทำให้ใช้ได้จริง เราอยากเข้าใจว่าแนวทางนี้ช่วยตรงไหน อาจเพิ่มความล่าช้าหรือภาระตรงไหน และเรามองข้ามอะไรไป ตัวอย่างจากการเปิดเผยช่องโหว่ในอดีตจะเป็นประโยชน์อย่างยิ่ง

เราสนใจประเด็นต่อไปนี้เป็นพิเศษ:

• กรอบเวลาการเปิดเผยข้อมูล ผู้ดูแลโครงการ ผู้ดูแลระบบ และฝ่ายป้องกันต้องใช้เวลาเท่าใดเพื่อเตรียมและติดตั้งแพตช์ที่เชื่อถือได้? หลักฐานใดควรทำให้เปิดเผยข้อมูลเร็วขึ้น โดยเฉพาะเมื่อผู้ใช้บางกลุ่มได้รับการป้องกันได้เร็วกว่ากลุ่มอื่น?

• การติดตั้งแพตช์ฉุกเฉิน มีกรณีใดหรือไม่ที่รัฐบาลหรือผู้ดูแลระบบรายอื่นควรใช้ช่องโหว่เพื่อติดตั้งแพตช์ในระบบที่ตนเป็นเจ้าของหรือได้รับอนุญาตให้จัดการ หลังสูญเสียสิทธิ์เข้าถึงในฐานะผู้ดูแลระบบ? ควรมีมาตรการกำกับดูแลใดบ้าง? เรามองเห็นภาพปลายทางที่มีการสแกนหาช่องโหว่ที่รู้จักทั่วอินเทอร์เน็ตอย่างต่อเนื่องตลอดเวลา และเมื่อพบก็แจ้งเจ้าของเว็บไซต์หรือติดตั้งแพตช์ให้ระบบ

• การแจ้งล่วงหน้า ใครบ้างที่ต้องได้รับคำเตือนล่วงหน้าเพื่อดำเนินการป้องกันที่เกิดประโยชน์ รวมถึงฝ่ายป้องกันที่เราอาจมองข้าม? เมื่อใดที่การทยอยแจ้งได้ผลดีกว่าการแจ้งกลุ่มใหญ่พร้อมกัน และควรชั่งน้ำหนักความครอบคลุมกับความเสี่ยงที่ข้อมูลจะรั่วไหลอย่างไร?

• แพ็กเกจซอฟต์แวร์ที่ปลอดภัยโดยค่าเริ่มต้น เราจะช่วยค้นหาและแก้ไขช่องโหว่ในแพ็กเกจปลายทางขณะรอแพตช์จากต้นทาง หรือปรับแพตช์ให้ใช้กับรุ่นเก่าที่ไม่ได้รับอัปเดตความปลอดภัยแล้วได้อย่างไร? ต้องมีการทดสอบและบำรุงรักษาแบบใดเพื่อให้แพ็กเกจเหล่านี้เป็นทางเลือกที่เชื่อถือได้เมื่อไม่อาจอัปเกรดได้ทันเวลา?

เรายังยินดีรับการแนะนำผู้เชี่ยวชาญความปลอดภัยอิสระที่สามารถทบทวนแนวทางนี้ ตั้งคำถามต่อสมมติฐาน และระบุช่องว่างได้ ความคิดเห็นของคุณจะช่วยเราปรับปรุงการรับมือและจัดลำดับความสำคัญของการสนับสนุน แสดงความคิดเห็นของคุณได้ที่นี่⁠(เปิดในหน้าต่างใหม่)