Trong hai tháng qua, chúng tôi dẫn dắt một liên minh gồm các bên bảo trì, nhà nghiên cứu và nhà cung cấp bảo mật để xử lý các lỗ hổng nghiêm trọng trong PHP, ngôn ngữ lập trình nguồn mở dùng để vận hành trang web và ứng dụng web. Calif đã dùng GPT‑5.6 Sol để phát hiện một lỗ hổng nghiêm trọng trong khuôn khổ sáng kiến Patch the Planet(mở trong cửa sổ mới) của chúng tôi. Wiz cũng độc lập phát hiện và báo cáo cả hai lỗ hổng. Đội ngũ bảo trì PHP chủ trì việc sửa lỗi và phát hành, còn các nhóm của chúng tôi cùng đối tác như Wiz, Cloudflare và những bên khác đóng góp nghiên cứu, hỗ trợ kỹ thuật và điều phối để chuẩn bị biện pháp bảo vệ trước khi công bố.
Với các tổ chức dùng PHP, ưu tiên lúc này là áp dụng bản sửa lỗi. Chúng tôi chia sẻ công cụ kiểm tra phiên bản PHP dưới dạng một kỹ năng Codex(mở trong cửa sổ mới) để giúp bên vận hành xác định phiên bản PHP có thể bị ảnh hưởng và, kết hợp với hướng dẫn của PHP cùng nhà cung cấp, xác định bản cập nhật cần áp dụng.
Do mức độ nghiêm trọng của các lỗ hổng và phạm vi sử dụng rộng rãi của PHP, chúng tôi coi đây là một trong những vấn đề bảo mật có tác động lớn nhất trong những năm gần đây. Điều này cho thấy AI có thể phát hiện lỗ hổng bảo mật tác động trên quy mô Internet, nhưng chính năng lực ấy cũng có thể giúp kẻ tấn công nhanh chóng phát triển công cụ tấn công và mã khai thác.
Theo chúng tôi được biết, AI tiên phong đã tìm ra các lỗ hổng này trước kẻ tấn công, mở ra Khoảng thời gian vàng cho bên phòng thủ để bên bảo trì và nhà cung cấp bảo mật chuẩn bị bản sửa lỗi cùng biện pháp bảo vệ trước khi công bố.
Để thêm nhiều bên phòng thủ sử dụng được các năng lực này, chúng tôi cam kết trợ giá 1 tỷ USD cho quyền truy cập Daybreak qua chương trình Daybreak dành cho lực lượng phòng thủ tuyến đầu, tập trung vào các tổ chức có nguồn lực bảo mật hạn chế đang bảo vệ dịch vụ thiết yếu.
Dù nghiêm trọng, đây chỉ là một số trong nhiều lỗ hổng đáng kể mà chúng tôi đã tìm ra và đang khắc phục. Chúng tôi dự đoán số phát hiện tương tự sẽ tăng mạnh trong những tháng tới. Từ kinh nghiệm đến nay, chúng tôi đề xuất cách tiếp cận phù hợp với kỷ nguyên AI để ứng phó với lỗ hổng nghiêm trọng trong phần mềm phổ biến, đồng thời mời cộng đồng bảo mật góp sức hoàn thiện khung này. Khung này kết hợp các mô hình, chuyên môn bảo mật của chúng tôi và đội ngũ bảo trì để biến phát hiện thành biện pháp bảo vệ, đồng thời xây dựng cơ chế ứng phó có thể mở rộng theo đà tiến bộ của AI.
Để đưa bản sửa lỗi vào sử dụng, có thể cần điều chỉnh cho phiên bản cũ, chuẩn bị biện pháp giảm thiểu từ nhà cung cấp và cập nhật hệ thống tại nhiều tổ chức. Một quy trình có thể áp dụng lặp lại giúp các nhóm này hành động nhanh khi ngày càng nhiều lỗ hổng được phát hiện.
Thông qua Patch the Planet, chúng tôi đóng góp chuyên môn bảo mật và quyền truy cập mô hình để hỗ trợ ứng phó với lỗ hổng PHP, đồng thời cùng bên bảo trì và đối tác nghiên cứu kiểm thử bản sửa lỗi và soạn hướng dẫn. Chúng tôi cũng hỗ trợ phối hợp với nhà cung cấp hạ tầng về biện pháp bảo vệ hệ thống bị ảnh hưởng và kết nối với cơ quan an ninh mạng chính phủ để đưa hướng dẫn đến các tổ chức trọng yếu. Việc này hỗ trợ hoạt động ứng phó do bên bảo trì chủ trì và giúp các bên phòng thủ khác chuẩn bị.
Với một số phát hiện, nhà nghiên cứu có thể làm việc trực tiếp với bên bảo trì phần mềm để điều tra và phát triển bản sửa lỗi. Những phát hiện khác cần ứng phó rộng hơn vì ảnh hưởng đến nhiều sản phẩm, hoặc vì nhà phân phối và nhà cung cấp dịch vụ cần thời gian chuẩn bị bản cập nhật và biện pháp bảo vệ. Thời gian này có thể rất ít nếu năng lực tiên phong không vượt xa năng lực phổ biến rộng rãi. Trong các trường hợp đó, khung đề xuất có thể giúp bên bảo trì xác định những bên cần tham gia và điều phối công việc. Quá trình ứng phó có thể gồm năm giai đoạn:
Xác minh và khắc phục lỗ hổng ở dự án nguồn. Bên bảo trì, nhà nghiên cứu và các đối tác kỹ thuật thiết yếu xác nhận phát hiện, đánh giá tác động, phát triển và kiểm thử bản sửa lỗi. Quy trình này bao gồm kiểm thử đối kháng bằng các mô hình tiên phong để tìm cách vượt qua bản vá và các biến thể liên quan của lỗ hổng.
Cho tổ chức bị ảnh hưởng thời gian hành động. Chúng tôi đề xuất khung xem xét tổ chức nào cần thông tin sớm để chuẩn bị biện pháp bảo vệ, còn bên bảo trì quyết định mời ai tham gia. Chúng tôi hỗ trợ liên hệ, thỏa thuận chia sẻ thông tin và điều phối giữa các nhóm. Nhà phân phối có thể điều chỉnh bản sửa lỗi cho phiên bản cũ, nhà cung cấp dịch vụ lưu trữ có thể thử biện pháp giảm thiểu, còn nhà cung cấp bảo mật có thể chuẩn bị biện pháp phát hiện hoặc ngăn chặn, gồm các quy tắc tường lửa ứng dụng web (WAF).
Phối hợp với đối tác chính phủ để bảo vệ hệ thống trọng yếu. Các cơ quan chính phủ có vai trò thiết yếu trong điều phối ứng phó trên diện rộng và đưa hướng dẫn bảo mật đến tổ chức phụ trách hạ tầng trọng yếu cùng các dịch vụ thiết yếu khác. Với PHP, chúng tôi cùng đối tác kết nối với nhiều bộ phận của chính phủ Hoa Kỳ, gồm Lực lượng Siêu trí tuệ của Nhà Trắng, Văn phòng Giám đốc An ninh mạng Quốc gia (ONCD), Cơ quan An ninh mạng và An ninh Hạ tầng (CISA), cùng các đối tác quốc tế để hỗ trợ nỗ lực này.
Chuẩn bị bản cập nhật cho các sản phẩm bị ảnh hưởng. Khi bản sửa lỗi, hướng dẫn và kế hoạch công bố đã ổn định, bên bảo trì có thể mời thêm nhà phân phối, nhà cung cấp dịch vụ và dịch vụ lưu trữ, nhóm ứng phó và bên vận hành để chuẩn bị bản cập nhật và khắc phục những chỗ chưa được bảo vệ.
Khi có bản vá, công bố hướng dẫn và hỗ trợ triển khai. Hướng dẫn công khai giúp mọi người đánh giá mức độ rủi ro, tìm bản cập nhật chính thức hoặc biện pháp giảm thiểu tạm thời và kiểm tra xem bản sửa lỗi đã hoạt động chưa. Quá trình ứng phó tiếp tục khi bên vận hành triển khai bản cập nhật và báo cáo những điểm cần hỗ trợ.
Khung đề xuất xem xét vai trò bảo vệ của tổ chức, gồm bảo vệ hệ thống của chính họ và khách hàng, thời gian cần để hành động và khả năng xử lý thông tin nhạy cảm. Các tổ chức tương đương sẽ được áp dụng cùng tiêu chí, còn bên bảo trì quyết định mời ai tham gia trước khi công bố.
Mỗi bên tham gia nhận thông tin cần cho công việc bảo vệ, từ nhật ký mạng chứa chỉ dấu xâm nhập đến mã khai thác minh chứng có thể hoạt động thực tế, vốn nhạy cảm hơn. Ngay cả chi tiết hạn chế cũng có thể làm lộ lỗ hổng, nên chúng tôi cân nhắc rủi ro chia sẻ so với khả năng bảo vệ mà thông tin mang lại.
Các nhóm theo khung này sẽ cùng bên bảo trì dành thời gian cho bên phòng thủ chuẩn bị và đánh giá lại lịch trình nếu có khai thác thực tế, rò rỉ, bản vá công khai làm lộ lỗ hổng, hoặc rủi ro với người dùng tăng do việc khắc phục đình trệ.
Trang web Patch the Planet(mở trong cửa sổ mới) tập hợp các công bố và hướng dẫn công khai để giúp bên vận hành xác định hệ thống bị ảnh hưởng, tìm đúng bản cập nhật và xác minh phần mềm đã cập nhật hoạt động đúng. Với PHP, trang này dẫn đến bản vá và hướng dẫn nâng cấp chính thức của bên bảo trì cùng nghiên cứu kỹ thuật của các đối tác. Hướng dẫn cũng đề cập biện pháp giảm thiểu tạm thời, khi nào cần nhờ nhà cung cấp hoặc chuyên gia, cùng việc sao lưu và khôi phục. Biện pháp bảo vệ tạm thời có thể giảm rủi ro, nhưng chúng tôi sẽ nêu rõ giới hạn và những đánh đổi về vận hành.
Bên vận hành có thể dùng hướng dẫn của CISA về ưu tiên và khắc phục(mở trong cửa sổ mới) để đánh giá mức độ khẩn cấp dựa trên khả năng bị tấn công, tình hình khai thác và tác động tiềm tàng. Theo đó, có thể cần vá khẩn cấp, giảm thiểu ngay hoặc cập nhật theo kế hoạch, kèm điều tra số sơ bộ khi cần để đánh giá liệu hệ thống đã bị xâm nhập chưa. Cần đánh giá lại các ưu tiên khi tình hình thay đổi, với lộ trình rõ ràng hướng đến khắc phục lâu dài.
Việc điều phối toàn cầu phụ thuộc vào những người bảo trì phần mềm. Nhiều dự án do các nhóm nhỏ vận hành; họ vừa xem xét báo cáo bảo mật, vừa thực hiện công việc phát triển thường nhật. Các nhóm này cần hỗ trợ phân biệt vấn đề mới với báo cáo trùng lặp, đánh giá tác động và kiểm thử bản sửa lỗi trên các phiên bản được hỗ trợ. Chúng tôi hỗ trợ công việc đó bằng kinh phí, quyền truy cập các mô hình mạnh và hỗ trợ kỹ thuật trực tiếp.
Năng lực AI mạnh mẽ đang phát triển trên toàn ngành. Chúng tôi kỳ vọng AI sẽ ngày càng đóng vai trò lớn hơn trong việc giúp bên phòng thủ tìm lỗ hổng, giám sát hệ thống và ứng phó với mối đe dọa. Chúng tôi đang đầu tư vào mô hình, công cụ và quan hệ đối tác để giúp bên phòng thủ ứng dụng các năng lực đó.
Các khoản đầu tư bao gồm gói thuê bao cho mọi bên bảo trì qua Codex dành cho phần mềm nguồn mở và tài trợ trực tiếp cho các dự án như Quỹ Rust(mở trong cửa sổ mới) để hỗ trợ đội ngũ bảo trì và công việc kỹ thuật. Mỗi dự án tự xác định các ưu tiên của mình. Các bài kiểm thử và quy trình bảo mật có thể tái sử dụng sẽ giúp giảm công sức xử lý những phát hiện trong tương lai. Các dự án nguồn mở có thể đăng ký tham gia Patch the Planet(mở trong cửa sổ mới) để được hỗ trợ trực tiếp.
Chúng tôi cũng đang hiệu chỉnh thêm các bộ phân loại chặn cho Daybreak để giảm nguy cơ bị dùng sai mục đích. Việc này đòi hỏi những đánh đổi khó khăn: biện pháp bảo vệ nhằm ngăn lạm dụng cũng có thể cản trở công việc bảo mật hợp pháp. Quyền tiếp cận rộng rãi các mô hình mạnh và biện pháp ngăn ngừa sử dụng sai mục đích hiệu quả đều rất quan trọng. Mục tiêu của chúng tôi là giữ lại những năng lực mà bên phòng thủ cần để tìm và sửa lỗ hổng, đồng thời hạn chế việc sử dụng gây hại. Chúng tôi sẽ tiếp tục điều chỉnh sự cân bằng này khi năng lực tiến bộ và khi rút ra bài học từ cách các công cụ được sử dụng.
Khi các mô hình mạnh hơn, cơ hội không chỉ dừng ở việc tìm và sửa từng lỗ hổng riêng lẻ. Chúng tôi muốn giúp kỹ sư xây dựng phần mềm bảo mật hơn ngay từ đầu. Cải tiến một thành phần được dùng rộng rãi có thể ngăn lỗi hoặc hạn chế tác động của lỗi trên nhiều sản phẩm và dịch vụ.
AI có thể giúp kỹ sư hiểu mã hiện có, chuẩn bị thay đổi và xây dựng bài kiểm thử, còn bên bảo trì và chuyên gia bảo mật xác minh rằng các thay đổi đó vẫn giữ nguyên cách hoạt động mà người dùng cần. Chúng tôi thấy cơ hội ở một số lĩnh vực:
Mã bảo mật ngay từ đầu. Các mô hình lập trình có thể giúp nhà phát triển chọn thiết lập mặc định an toàn hơn, dùng đúng thư viện bảo mật và phát hiện mẫu mã rủi ro ngay khi viết. Ngăn lỗ hổng trong quá trình phát triển giúp bên bảo trì và người dùng bớt phải xử lý các bản sửa lỗi khẩn cấp.
Phần mềm an toàn bộ nhớ. Chuyển các thành phần trọng yếu sang ngôn ngữ an toàn bộ nhớ có thể loại bỏ những nhóm lỗi bộ nhớ phổ biến. AI có thể hỗ trợ chuyển đổi, kết hợp kiểm thử và đánh giá của chuyên gia để kiểm tra hành vi và khả năng tương thích.
Kiểm chứng hình thức. Chứng minh toán học có thể cho thấy các thành phần trọng yếu đáp ứng những thuộc tính bảo mật đã xác định theo các giả định được nêu. Áp dụng các phương pháp này cho thành phần phổ biến có thể giúp loại trừ cả nhóm lỗ hổng trên các dịch vụ và hạ tầng trọng yếu phụ thuộc vào chúng.
Cô lập chặt chẽ hơn. Hệ thống cần được bảo vệ trước cả những lỗ hổng chưa được phát hiện hoặc khắc phục. Chạy phần mềm xử lý tệp, hình ảnh hoặc nội dung đa phương tiện không đáng tin cậy trong môi trường hộp cát bị hạn chế nghiêm ngặt có thể giới hạn thiệt hại nếu phần mềm bị xâm nhập. AI có thể giúp kỹ sư kiểm thử và củng cố các công nghệ hộp cát phổ biến, tăng cường bảo vệ cho nhiều ứng dụng.
Chúng tôi chia sẻ cách tiếp cận để bên bảo trì, nhà nghiên cứu, nhóm ứng phó, nhà cung cấp và bên vận hành có thể góp sức giúp nó khả thi trong thực tế. Chúng tôi muốn hiểu cách tiếp cận này hữu ích ở đâu, có thể gây chậm trễ hoặc thêm gánh nặng ở đâu và còn bỏ sót điều gì. Ví dụ từ những lần công bố trước đây sẽ đặc biệt hữu ích.
Chúng tôi đặc biệt quan tâm đến:
Khoảng thời gian trước khi công bố. Bên bảo trì, bên vận hành và bên phòng thủ cần bao nhiêu thời gian để chuẩn bị và triển khai bản sửa lỗi đáng tin cậy? Bằng chứng nào nên dẫn đến việc công bố sớm hơn, nhất là khi có thể bảo vệ một số người dùng sớm hơn những người khác?
Vá lỗi khẩn cấp. Liệu có trường hợp nào chính phủ hoặc bên vận hành khác nên khai thác lỗ hổng để vá hệ thống thuộc sở hữu hoặc được phép quản lý sau khi mất quyền truy cập quản trị? Nếu có, đó là khi nào? Cần áp dụng những biện pháp bảo vệ nào? Chúng tôi có thể hình dung một trạng thái cuối cùng: liên tục quét toàn Internet để tìm lỗ hổng đã biết, rồi thông báo cho chủ trang web khi phát hiện hoặc vá hệ thống.
Thông báo sớm. Ai cần được cảnh báo trước để thực hiện biện pháp bảo vệ hữu ích, kể cả những bên phòng thủ mà chúng tôi có thể bỏ sót? Khi nào thông báo theo từng giai đoạn hiệu quả hơn thông báo đồng thời cho nhóm rộng hơn, và nên cân nhắc phạm vi bảo vệ với nguy cơ rò rỉ như thế nào?
Gói phần mềm bảo mật theo mặc định. Làm sao để giúp tìm và sửa lỗ hổng trong các gói phụ thuộc khi bản sửa lỗi ở dự án nguồn còn chưa sẵn sàng, hoặc đưa bản sửa lỗi về phiên bản cũ không còn nhận cập nhật bảo mật? Cần kiểm thử và bảo trì ra sao để các gói này trở thành lựa chọn đáng tin cậy khi không thể nâng cấp kịp thời?
Chúng tôi cũng hoan nghênh đề cử chuyên gia bảo mật độc lập có thể đánh giá cách tiếp cận, phản biện các giả định và xác định thiếu sót. Ý kiến của bạn sẽ giúp chúng tôi hoàn thiện cách ứng phó và xác định ưu tiên hỗ trợ. Chia sẻ ý kiến tại đây(mở trong cửa sổ mới).
