گزشتہ دو ماہ میں ہم نے دیکھ بھال کرنے والی ٹیموں، محققین اور حفاظتی خدمات فراہم کرنے والوں کے اتحاد کی قیادت کی تاکہ PHP کی سنگین حفاظتی خامیاں دور کی جا سکیں. PHP ایک اوپن سورس پروگرامنگ زبان ہے جس سے ویب سائٹس اور ویب ایپلی کیشنز چلائی جاتی ہیں. ہمارے پیچ دی پلینیٹ(نئی ونڈو میں کھلتا ہے) اقدام کے تحت کیلف نے GPT‑5.6 Sol کی مدد سے ایک سنگین خامی دریافت کی. وِز نے بھی آزادانہ طور پر دونوں خامیاں دریافت کرکے ان کی اطلاع دی. PHP کی دیکھ بھال کرنے والی ٹیموں نے اصلاحات اور ان کے اجرا کی قیادت کی. ہماری ٹیموں اور وِز، کلاؤڈ فلیئر اور دیگر شراکت داروں نے تحقیق، تکنیکی معاونت اور ہم آہنگی میں حصہ لیا تاکہ انکشاف سے پہلے حفاظتی اقدامات تیار ہوں.
PHP استعمال کرنے والے اداروں کے لیے اب ترجیح ان اصلاحات کو نافذ کرنا ہے. ہم PHP کا نسخہ جانچنے والا آلہ Codex کی مہارت کے طور پر فراہم کر رہے ہیں(نئی ونڈو میں کھلتا ہے) تاکہ نظام چلانے والے ممکنہ طور پر غیر محفوظ نسخے پہچان سکیں اور PHP اور اپنے خدمت فراہم کنندگان کی رہنمائی سے طے کر سکیں کہ کون سی تازہ کاریاں درکار ہیں.
ان خامیوں کی سنگینی اور PHP کے وسیع استعمال کو دیکھتے ہوئے، ہم اسے حالیہ برسوں کے سب سے زیادہ اثرانداز ہونے والے حفاظتی مسائل میں شمار کرتے ہیں. یہ ظاہر کرتا ہے کہ مصنوعی ذہانت پورے انٹرنیٹ کو متاثر کرنے والی حفاظتی خامیاں ڈھونڈ سکتی ہے، مگر یہی صلاحیتیں حملہ آوروں کو حملے کے آلات اور خامیوں سے فائدہ اٹھانے کے طریقے تیزی سے تیار کرنے میں بھی مدد دے سکتی ہیں.
ہماری معلومات کے مطابق، جدید ترین مصنوعی ذہانت نے حملہ آوروں سے پہلے یہ خامیاں دریافت کیں. اس سے محافظوں کو مہلت ملی کہ دیکھ بھال کرنے والی ٹیمیں اور حفاظتی خدمات فراہم کنندگان انکشاف سے پہلے اصلاحات اور حفاظتی اقدامات تیار کر سکیں.
مزید محافظوں کو ان صلاحیتوں سے فائدہ پہنچانے کے لیے ہم نے صفِ اول کے محافظوں کے لیے ڈے بریک کے ذریعے رعایتی ڈے بریک رسائی کی مد میں ایک ارب ڈالر دینے کا عہد کیا ہے. توجہ ان اداروں پر ہے جو محدود حفاظتی وسائل کے ساتھ ضروری خدمات کا تحفظ کرتے ہیں.
اپنی سنگینی کے باوجود یہ خامیاں ان کئی اہم خامیوں میں شامل ہیں جو ہم دریافت کر چکے ہیں اور دور کر رہے ہیں. ہمیں توقع ہے کہ آنے والے مہینوں میں ایسی دریافتیں تیزی سے بڑھیں گی. اب تک کے تجربے کی بنیاد پر ہم وسیع پیمانے پر استعمال ہونے والے سافٹ ویئر کی سنگین خامیوں سے نمٹنے کا ایک مجوزہ طریقۂ کار پیش کر رہے ہیں، جو مصنوعی ذہانت کے دور کے لیے موزوں ہے. ہم حفاظتی ماہرین کی برادری سے اسے بہتر بنانے میں مدد چاہتے ہیں. یہ ہمارے ماڈلز، حفاظتی مہارت اور دیکھ بھال کرنے والی ٹیموں کو یکجا کرتا ہے تاکہ دریافتیں عملی تحفظ میں بدلیں اور ایسا ردعمل تیار ہو جو مصنوعی ذہانت کی صلاحیتوں کے ساتھ وسعت اختیار کر سکے.
کسی اصلاح کو عملی استعمال میں لانے کے لیے اسے پرانے نسخوں کے مطابق ڈھالنا، فراہم کنندگان کے تخفیفی اقدامات تیار کرنا اور متعدد اداروں کے نظام تازہ کرنا پڑ سکتا ہے. بار بار اپنایا جا سکنے والا طریقۂ کار ان ٹیموں کو نئی خامیوں کی دریافت پر تیزی سے کام کرنے میں مدد دیتا ہے.
پیچ دی پلینیٹ کے ذریعے ہم نے PHP کے مسئلے سے نمٹنے کے لیے حفاظتی مہارت اور ماڈل تک رسائی فراہم کی، اور دیکھ بھال کرنے والی ٹیموں اور تحقیقی شراکت داروں کے ساتھ اصلاحات آزمائیں اور رہنمائی تیار کی. ہم نے متاثرہ نظاموں کے تحفظ کے لیے بنیادی ڈھانچے کے فراہم کنندگان سے رابطہ کاری میں بھی مدد کی اور سرکاری سائبر اداروں کو شامل کیا تاکہ رہنمائی اہم اداروں تک پہنچے. اس سے دیکھ بھال کرنے والی ٹیموں کی زیرِ قیادت اقدامات کو تقویت ملی اور دیگر محافظوں کو تیاری میں مدد ملی.
بعض دریافتوں میں محققین براہِ راست سافٹ ویئر کی دیکھ بھال کرنے والی ٹیموں کے ساتھ مسئلے کی تحقیق اور اس کی اصلاح کر سکتے ہیں. دیگر معاملات میں وسیع ردعمل درکار ہوتا ہے، کیونکہ کئی مصنوعات متاثر ہوتی ہیں یا تقسیم کاروں اور خدمت فراہم کنندگان کو تازہ کاریاں اور تحفظ تیار کرنے کے لیے وقت چاہیے. اگر جدید ترین صلاحیتیں عام دستیاب صلاحیتوں سے زیادہ آگے نہ ہوں تو یہ وقت کم بھی ہو سکتا ہے. ایسے حالات میں مجوزہ خاکہ دیکھ بھال کرنے والی ٹیموں کو یہ طے کرنے میں مدد دے سکتا ہے کہ کس کو شامل کرنا ہے اور کام میں ہم آہنگی کیسے پیدا کرنی ہے. ردعمل کے پانچ مراحل ہو سکتے ہیں:
اصل سافٹ ویئر میں خامی کی تصدیق اور اصلاح کریں. دیکھ بھال کرنے والی ٹیم، محققین اور ضروری تکنیکی شراکت دار دریافت کی تصدیق کرتے ہیں، اس کے اثرات جانچتے ہیں اور اصلاح تیار کرکے آزماتے ہیں. اس عمل میں جدید ترین ماڈلز سے حملہ آور کے انداز میں آزمائش بھی شامل ہے تاکہ حفاظتی ترمیم کو ناکام بنانے کے طریقے اور خامی کی متعلقہ شکلیں تلاش کی جا سکیں.
متاثرہ اداروں کو کارروائی کا وقت دیں. ہم ایسا خاکہ تجویز کرتے ہیں جس سے طے کیا جا سکے کہ کن اداروں کو حفاظتی تیاری کے لیے پیشگی معلومات درکار ہیں. کس کو شامل کرنا ہے، اس کا فیصلہ دیکھ بھال کرنے والی ٹیمیں کریں گی. ہم رابطوں، معلومات کے تبادلے کے معاہدوں اور ٹیموں کے درمیان ہم آہنگی میں مدد کرتے ہیں. تقسیم کار اصلاح کو پرانے نسخے کے مطابق ڈھال سکتا ہے، ہوسٹنگ فراہم کنندہ خطرہ گھٹانے کا اقدام آزما سکتا ہے، اور حفاظتی خدمت فراہم کنندہ شناخت یا روک تھام کے اقدامات تیار کر سکتا ہے، جن میں ویب ایپلی کیشن فائر وال (WAF) کے قواعد بھی شامل ہیں.
اہم نظاموں کے تحفظ کے لیے سرکاری شراکت داروں سے ہم آہنگی پیدا کریں. سرکاری ادارے وسیع ردعمل میں ہم آہنگی پیدا کرنے اور اہم بنیادی ڈھانچے اور ضروری خدمات کے ذمہ دار اداروں تک حفاظتی رہنمائی پہنچانے میں لازمی کردار ادا کرتے ہیں. PHP کے معاملے میں ہم نے اپنے شراکت داروں کے ساتھ امریکی حکومت کے متعدد شعبوں سے رابطہ کیا، جن میں وائٹ ہاؤس کی سپر انٹیلیجنس فورس، قومی سائبر ڈائریکٹر کا دفتر (ONCD) اور سائبر سلامتی و بنیادی ڈھانچے کی سلامتی کا ادارہ (CISA) شامل تھے. اس کوشش میں بین الاقوامی شراکت داروں کو بھی شامل کیا گیا.
تمام متاثرہ مصنوعات کے لیے تازہ کاریاں تیار کریں. اصلاح، رہنمائی اور انکشاف کے منصوبے مستحکم ہونے پر دیکھ بھال کرنے والی ٹیمیں مزید تقسیم کاروں، ہوسٹنگ اور خدمت فراہم کنندگان، امدادی ٹیموں اور نظام چلانے والوں کو شامل کر سکتی ہیں تاکہ تازہ کاریاں تیار ہوں اور تحفظ کی کمی دور ہو.
حفاظتی ترمیم دستیاب ہوتے ہی رہنمائی شائع کریں اور نفاذ میں مدد دیں. عوامی رہنمائی سے لوگ اپنے خطرے کا اندازہ لگا سکتے ہیں، مستند تازہ کاریاں یا عارضی تخفیفی اقدامات ڈھونڈ سکتے ہیں اور جانچ سکتے ہیں کہ اصلاح فعال ہے. یہ عمل اس وقت بھی جاری رہتا ہے جب نظام چلانے والے تازہ کاریاں نافذ کرتے اور بتاتے ہیں کہ کہاں مدد درکار ہے.
مجوزہ خاکہ ادارے کے حفاظتی کردار، بشمول اپنے نظاموں اور صارفین کا تحفظ، کارروائی کے لیے درکار وقت اور حساس معلومات سنبھالنے کی صلاحیت کو ملحوظ رکھتا ہے. یکساں نوعیت کے اداروں پر یہی معیار لاگو ہوں گے، جبکہ دیکھ بھال کرنے والی ٹیمیں طے کریں گی کہ انکشاف سے پہلے کس کو شامل کیا جائے.
ہر شریک کو حفاظتی کام کے لیے ضروری معلومات ملتی ہیں، جن میں دراندازی کی علامتوں والے نیٹ ورک ریکارڈ سے لے کر خامی کا فائدہ اٹھانے والے زیادہ حساس، عملی طور پر کارگر ثبوتی نمونوں تک کی معلومات شامل ہیں. محدود تفصیلات بھی خامی ظاہر کر سکتی ہیں، اس لیے ہم ان کے اشتراک کے خطرے کو ان سے ممکن ہونے والے تحفظ کے مقابل تولتے ہیں.
اس خاکے پر عمل کرنے والی ٹیمیں دیکھ بھال کرنے والوں کے ساتھ محافظوں کو تیاری کی مہلت دیں گی. حقیقی حملوں میں خامی کے استعمال، معلومات کے افشا، خامی ظاہر کرنے والی عوامی ترمیم، یا اصلاح رکنے سے صارفین کا خطرہ بڑھنے پر وہ نظام الاوقات کا دوبارہ جائزہ لیں گی.
پیچ دی پلینیٹ کی ویب سائٹ(نئی ونڈو میں کھلتا ہے) عوامی انکشافات اور رہنمائی یکجا کرتی ہے تاکہ نظام چلانے والے متاثرہ نظام پہچان سکیں، درست تازہ کاری ڈھونڈ سکیں اور تصدیق کر سکیں کہ تازہ کردہ سافٹ ویئر درست چل رہا ہے. PHP کے لیے یہ دیکھ بھال کرنے والی ٹیموں کی باضابطہ حفاظتی ترمیم، نسخہ بدلنے کی ہدایات اور ہمارے شراکت داروں کی تکنیکی تحقیق تک رہنمائی کرتی ہے. رہنمائی میں عارضی تخفیفی اقدامات، فراہم کنندہ یا ماہر کو شامل کرنے کا موزوں وقت، اور محفوظ نقلیں بنانے اور بحالی کے طریقے بھی شامل ہیں. عارضی تحفظ خطرہ گھٹا سکتا ہے، مگر ہم اس کی حدود اور کام کاج پر پڑنے والے منفی اثرات بھی واضح کریں گے.
نظام چلانے والے ترجیحات اور اصلاح سے متعلق CISA کی رہنمائی(نئی ونڈو میں کھلتا ہے) سے اندازہ لگا سکتے ہیں کہ خطرے کی زد، خامی کے استحصال اور ممکنہ اثرات کے لحاظ سے کتنی جلد کارروائی ضروری ہے. اس میں ہنگامی حفاظتی ترمیم، فوری تخفیفی اقدام یا منصوبہ بند تازہ کاری شامل ہو سکتی ہے. جہاں ضروری ہو، ابتدائی فارنسک جانچ بھی کی جائے تاکہ معلوم ہو سکے کہ نظاموں میں پہلے ہی دراندازی تو نہیں ہو چکی. حالات بدلنے پر ترجیحات کا دوبارہ جائزہ لینا چاہیے اور پائیدار اصلاح کا راستہ واضح ہونا چاہیے.
عالمی ہم آہنگی کا انحصار ان لوگوں پر ہے جو سافٹ ویئر کی دیکھ بھال کرتے ہیں. بہت سے منصوبے چھوٹی ٹیمیں چلاتی ہیں جو معمول کی تیاری و ترقی کے ساتھ حفاظتی رپورٹوں کا جائزہ بھی لیتی ہیں. ان ٹیموں کو نئے مسائل اور بار بار رپورٹ ہونے والے مسائل الگ کرنے، اثرات جانچنے اور تمام معاونت یافتہ نسخوں میں اصلاحات آزمانے کے لیے مدد درکار ہوتی ہے. ہم مالی وسائل، قابل ماڈلز تک رسائی اور عملی انجینئرنگ معاونت سے اس کام میں مدد کرتے ہیں.
پوری صنعت میں مصنوعی ذہانت کی طاقتور صلاحیتیں ترقی کر رہی ہیں. ہمیں توقع ہے کہ خامیاں ڈھونڈنے، نظاموں کی نگرانی اور خطرات سے نمٹنے میں محافظوں کی مدد کے لیے مصنوعی ذہانت کا کردار بڑھتا جائے گا. ہم ماڈلز، آلات اور شراکت داریوں میں سرمایہ کاری کر رہے ہیں تاکہ محافظ ان صلاحیتوں کو عملی استعمال میں لا سکیں.
ہماری سرمایہ کاری میں اوپن سورس کے لیے Codex کے ذریعے دیکھ بھال کرنے والوں کے لیے رکنیتیں، اور ان افراد اور تکنیکی کام کے لیے رسٹ فاؤنڈیشن(نئی ونڈو میں کھلتا ہے) جیسے منصوبوں کی براہِ راست مالی سرپرستی شامل ہے. ہر منصوبہ اپنی ترجیحات خود طے کرتا ہے. دوبارہ استعمال کے قابل آزمائشیں اور حفاظتی طریقۂ کار آئندہ دریافتوں سے نمٹنے کی محنت کم کر سکتے ہیں. اوپن سورس منصوبے عملی معاونت کے لیے پیچ دی پلینیٹ کو درخواست دے سکتے ہیں(نئی ونڈو میں کھلتا ہے).
ہم ڈے بریک کے لیے روک تھام کرنے والے اضافی درجہ بندی نظاموں کی ترتیب بھی بہتر بنا رہے ہیں تاکہ غلط استعمال کا امکان کم ہو. اس میں مشکل توازن قائم کرنا پڑتا ہے: غلط استعمال روکنے کے حفاظتی اقدامات جائز حفاظتی کام کو بھی روک سکتے ہیں. قابل ماڈلز تک وسیع رسائی اور غلط استعمال سے مؤثر تحفظ، دونوں نہایت ضروری ہیں. ہمارا مقصد نقصان دہ استعمال محدود کرتے ہوئے وہ صلاحیتیں برقرار رکھنا ہے جن سے محافظ خامیاں ڈھونڈ اور دور کر سکیں. صلاحیتوں کی ترقی اور ان آلات کے استعمال سے حاصل تجربے کی بنیاد پر ہم اس توازن کو بہتر بناتے رہیں گے.
ماڈلز کی صلاحیت بڑھنے کے ساتھ مواقع انفرادی خامیوں کو ڈھونڈنے اور دور کرنے سے آگے بڑھتے ہیں. ہم انجینئروں کی مدد کرنا چاہتے ہیں کہ وہ ابتدا ہی سے زیادہ محفوظ سافٹ ویئر بنائیں. وسیع استعمال والے کسی جزو میں بہتری، متعدد مصنوعات اور خدمات میں خامیوں کو روک سکتی ہے یا ان کا اثر محدود کر سکتی ہے.
مصنوعی ذہانت انجینئروں کو موجودہ کوڈ سمجھنے، تبدیلیاں تیار کرنے اور آزمائشیں بنانے میں مدد دے سکتی ہے. ساتھ ہی دیکھ بھال کرنے والی ٹیمیں اور حفاظتی ماہرین تصدیق کرتے ہیں کہ ان تبدیلیوں سے وہ طرزِ عمل برقرار رہے جس پر صارفین انحصار کرتے ہیں. ہمیں کئی شعبوں میں مواقع نظر آتے ہیں:
ابتدا ہی سے محفوظ کوڈ. کوڈ لکھنے والے ماڈلز، سافٹ ویئر بنانے والوں کو زیادہ محفوظ ابتدائی ترتیبات چننے، حفاظتی لائبریریاں درست استعمال کرنے اور کوڈ لکھتے وقت خطرناک نمونے پہچاننے میں مدد دے سکتے ہیں. تیاری کے دوران خامیوں کی روک تھام سے دیکھ بھال کرنے والوں اور صارفین کو کم ہنگامی اصلاحات درکار ہوں گی.
میموری کے محفوظ استعمال والا سافٹ ویئر. اہم اجزا کو میموری کا محفوظ استعمال یقینی بنانے والی زبانوں میں منتقل کرنے سے میموری کی غلطیوں کی عام اقسام ختم کی جا سکتی ہیں. مصنوعی ذہانت اس منتقلی میں مدد دے سکتی ہے، جبکہ آزمائشوں اور ماہرین کے جائزے سے طرزِ عمل اور مطابقت کی جانچ کی جا سکتی ہے.
ریاضیاتی توثیق. ریاضیاتی ثبوت دکھا سکتے ہیں کہ بیان کردہ مفروضوں کے تحت اہم اجزا متعین حفاظتی شرائط پوری کرتے ہیں. وسیع استعمال والے اجزا پر یہ طریقے لاگو کرنے سے ان پر منحصر خدمات اور اہم بنیادی ڈھانچے میں خامیوں کی پوری اقسام کا امکان ختم کرنے میں مدد مل سکتی ہے.
زیادہ مضبوط علیحدگی. نظاموں کو ان خامیوں سے بھی تحفظ چاہیے جو ابھی دریافت یا درست نہیں ہوئی ہیں. غیر معتبر فائلوں، تصاویر یا دیگر ذرائع ابلاغ پر کارروائی کرنے والے سافٹ ویئر کو سخت پابندیوں والے الگ تھلگ ماحول میں چلانے سے دراندازی کی صورت میں نقصان محدود کیا جا سکتا ہے. مصنوعی ذہانت انجینئروں کو وسیع پیمانے پر استعمال ہونے والی، سافٹ ویئر کو الگ تھلگ رکھنے کی ٹیکنالوجیاں آزمانے اور مضبوط بنانے میں مدد دے سکتی ہے، جس سے متعدد ایپلی کیشنز کا تحفظ بہتر ہوگا.
ہم اپنا طریقۂ کار پیش کر رہے ہیں تاکہ دیکھ بھال کرنے والی ٹیمیں، محققین، امدادی ٹیمیں، فراہم کنندگان اور نظام چلانے والے اسے قابلِ عمل بنانے میں مدد کر سکیں. ہم سمجھنا چاہتے ہیں کہ یہ کہاں مدد دے گا، کہاں تاخیر یا بوجھ بڑھا سکتا ہے اور ہم سے کیا چھوٹ گیا ہے. گزشتہ انکشافات کی مثالیں خاص طور پر مفید ہوں گی.
ہم خاص طور پر ان موضوعات میں دلچسپی رکھتے ہیں:
انکشاف سے پہلے کی مہلت. دیکھ بھال کرنے والی ٹیموں، نظام چلانے والوں اور محافظوں کو قابلِ اعتماد اصلاحات تیار اور نافذ کرنے کے لیے کتنا وقت چاہیے. کن شواہد کی بنیاد پر انکشاف جلد کرنا چاہیے، خاص طور پر جب بعض صارفین کو دوسروں سے پہلے تحفظ دیا جا سکتا ہو.
ہنگامی حفاظتی ترمیم. کیا کبھی حکومتوں یا نظام چلانے والوں کو انتظامی رسائی کھو دینے کے بعد کسی خامی کا فائدہ اٹھا کر اپنے یا اپنی مجاز نگرانی میں موجود نظاموں پر حفاظتی ترمیم نافذ کرنی چاہیے، اور اگر ہاں تو کب. کون سے حفاظتی ضابطے لاگو ہونے چاہئیں. ہم ایک ایسی حتمی صورت کا تصور کر سکتے ہیں جس میں پورے انٹرنیٹ پر معلوم خامیوں کی مسلسل جانچ ہو، اور کوئی خامی ملنے پر ویب سائٹ کے مالک کو اطلاع دی جائے یا نظام پر حفاظتی ترمیم نافذ کر دی جائے.
پیشگی اطلاع. مؤثر حفاظتی اقدام کرنے کے لیے کس کو پیشگی تنبیہ چاہیے، بشمول ان محافظوں کے جو ہماری نظر سے رہ سکتے ہیں. کن حالات میں مرحلہ وار اطلاع دینا ایک بڑے گروہ کو بیک وقت بتانے سے بہتر ہوتا ہے، اور ہمیں تحفظ کے دائرے کو معلومات افشا ہونے کے خطرے کے مقابل کیسے تولنا چاہیے.
ابتدائی ترتیبات ہی سے محفوظ سافٹ ویئر پیکیج. جب اصل سافٹ ویئر کی اصلاحات زیرِ التوا ہوں تو ہم اس پر مبنی پیکیجوں میں خامیوں کی شناخت اور اصلاح میں کیسے مدد کر سکتے ہیں، یا اصلاحات کو ان پرانے نسخوں کے مطابق کیسے ڈھال سکتے ہیں جن کے لیے اب حفاظتی تازہ کاریاں نہیں آتیں. جب بروقت نئے نسخے پر منتقلی ممکن نہ ہو تو کس قسم کی آزمائش اور دیکھ بھال ان پیکیجوں کو قابلِ اعتماد متبادل بنائے گی.
ہم ایسے آزاد حفاظتی ماہرین کی سفارشات کا بھی خیرمقدم کرتے ہیں جو اس طریقۂ کار کا جائزہ لے سکیں، اس کے مفروضوں کو پرکھ سکیں اور کمیوں کی نشاندہی کر سکیں. آپ کی آرا ہمیں ردعمل بہتر بنانے اور معاونت کی ترجیحات طے کرنے میں مدد دیں گی. اپنی رائے یہاں دیں(نئی ونڈو میں کھلتا ہے).
