PHP 漏洞資料提前外流引發網絡安全應急，暴露 AI 時代風險
Inside the cyber flaw scramble that brought the AI threat to life
Chainguard 提前公開 PHP 漏洞資料，打亂協調披露安排，令多地政府機構及企業在修補未就緒時暫時關閉網站。漏洞由 OpenAI 協調、歷時數月並藉助 AI 工具發現；Cloudflare 稱，漏洞公開後，利用嘗試在兩小時內達數十萬次，其後升至數百萬次。當時未見重大黑客攻擊損害，OpenAI 則預期未來數月會有更多類似發現。
文章沿時間線呈現 PHP 漏洞資料提前外流後，協調披露流程如何受壓，以及 AI 加快漏洞發現與利用帶來的防護取捨。
暴露面極為廣泛，人工智能令風險倍增——然而，經過時間考驗的全球網絡安全程序似乎仍然有效。但一切突然崩潰。
一間網絡安全公司週三決定提早公開熱門程式語言 PHP 的漏洞資訊，令網絡上大量網站暴露於黑客攻擊風險之中，引發恐慌，也令數月來有關人工智能時代可能造成廣泛破壞的警告成真。
OpenAI 協調一項歷時數月的流程，利用人工智能工具發現 PHP 的漏洞。這些漏洞促使歐洲、美國、英國、澳洲和加拿大的網絡安全機構週三發出緊急警告。多個政府為安全起見，將網站下線。
雖然當時未見重大黑客破壞，但事件在 72 小時內的發展，顯示網絡安全程序多麼容易失效，以及人工智能時代的網絡風險可能造成多麼嚴重的後果。
引發連鎖反應、提早公開資訊的 Chainguard 行政總裁 Dan Lorenc，很快就在 LinkedIn 貼文中道歉。不過，Lorenc 週四接受 POLITICO 訪問時表示，他提前分享資訊，是因為該漏洞已遭利用。雖然有人對此提出異議，Lorenc 表示，他認為自己已看到足夠證據，足以不受原有保密安排約束；該安排原本是為了爭取時間修補漏洞。
Lorenc 否認自己的行動會為其他防守者帶來問題，但他表示，在這些協調式網絡防禦系統中，判斷證據是否足夠的門檻是「灰色地帶」。
PHP 漏洞曝光，揭示了自最強大的人工智能工具問世以來，網絡安全官員一直嚴陣以待的情況：這些工具不但能用來發現漏洞，還能大規模利用漏洞。
網絡安全界長期沿用的規程，有助避免黑客成功利用漏洞、控制大量網站並存取其資料的災難情景。但人工智能驅動的網絡風險，其規模和可能造成末日般後果的潛力，如今已清楚呈現在世人眼前。
網絡安全初創公司 Echo 的聯合創辦人兼技術總監 Eylam Milner 説：「人工智能找出一個隱藏多年的漏洞，就會出現這種情況。」他補充説，這些漏洞「對網絡而言，嚴重程度可謂無出其右」。
事件起源
瞭解本週這場緊急事件如何發生，有助一窺企業和當局如何努力防止攻擊，以及它們未來將面對多大風險。
事件的起源最早可追溯至 4 月。當時，領先的前沿人工智能公司 Anthropic 公佈 Mythos，令網絡安全界部分人士擔心，先進人工智能很快便會令各個系統不堪負荷，甚至可能引發災難性事件。
但在 Anthropic 及 OpenAI 等其他 AI 公司推出那些模型後的數月，研究人員確實在電腦系統中發現更多漏洞，但這些漏洞對現實世界的影響甚微。就連 Hugging Face 事件——一宗廣受討論的黑客入侵事件，當時 OpenAI 的自主 AI Agent 在內部安全評估期間失控——關乎的也更多是 AI 公司對其模型的控制程度，而非這些模型入侵全球系統的能力。
本星期，研究人員揭露 PHP 存在漏洞，情況因而改變。據估計，這種編程語言已整合至約 70% 的網絡。
網絡安全官員及相關公司發布漏洞資訊的流程至關重要。根據一項稱為「協調披露」的長期慣例，發現漏洞的研究人員及公司可以先找出修補方法，再以保密方式與相關機構及其他人士分享，然後才向公眾發布。這樣便不會在漏洞尚未修補時，把可供惡意黑客利用的漏洞拱手相送。
就 PHP 漏洞而言，這個流程運作良好，但並不完美。在原定發布時間前，漏洞資訊已開始流傳。其後，據 PHP Foundation 表示，Chainguard「單方面打破了保密期限」，「罔顧多方數星期來為協調披露所付出的努力」。PHP Foundation 執行董事 Elizabeth Barron 透過電郵向 POLITICO 表示，雖然對 Chainguard 感到「失望」，但希望「日後能與他們重建互信，確保雙方可以繼續有效合作」。
消息外洩後——即漏洞修補程式尚未準備好，漏洞資訊便已公開——混亂迅速蔓延。政府機構和私人公司選擇暫時關閉網站，而不冒著數據及網站本身遭受具破壞性入侵的風險。
週四早些時候，Cloudflare 行政總裁 Matthew Prince 在 X 的一則帖文中表示，該公司已觀察到「數以百萬計」次利用該漏洞的嘗試。Cloudflare 是一家網絡服務公司，廣泛獲網站用作阻截網絡攻擊，因此能高度掌握黑客的行動。
Prince 表示，在漏洞公開宣佈前的 10 小時內，Cloudflare 觀察到數千次利用漏洞的嘗試；宣佈後 45 分鐘內增至數萬次，兩小時內達數十萬次，而目前已達數百萬次。
Amazon 的雲端部門亦表示，該漏洞「目前正在實際環境中被廣泛利用」。
一名美國政府高級網絡安全官員表示，聯邦當局已應接不暇，而且面對的不只 PHP 漏洞。世界各地正忙於處理 PHP 漏洞的同一天，他們還要應對 node.js（一種廣泛使用的 JavaScript 框架）、Fortinet、GitHub 和 Oracle 的漏洞。
該官員説：「消防部門正同時撲救多場火災。」他補充説：「好消息是，起火的都是隻有一層樓高的建築物，而消防部門每天都在處理這類火警。」
還有更多
令人擔憂的是，OpenAI 表示，還有更多漏洞即將出現。該公司週三在一份聲明中表示：「這些漏洞只是我們已發現並正著手修補的數個重大漏洞之一；我們預期未來數月類似的發現會大幅增加。」
荷蘭網絡安全局局長 Matthijs van Amelsfort 在訪問中表示，隨着 AI 發展，保障電腦系統安全的工作已經改變。「前沿模型一推出，我們就正是這樣説：這將會成為趨勢。」他説。「而現在，這確實正在發生。」
德國網絡安全機構 BSI 副主席 Thomas Caspers 表示認同：「我們預計，未來幾個月這種情況會愈來愈常見。」
漏洞公開後，AI 也會進一步增加風險。Caspers 表示，網絡安全機構建議機構將網站下線，「確實是非常嚴厲的措施」。「幾年前，我們大概不會這樣做。」但他説，由於 AI 令利用漏洞變得更快捷、更容易，「我們不得不這樣做」。
與此同時，利用先進 AI 偵測漏洞，或可為防範企圖利用漏洞的惡意黑客提供更高層次的保護。Caspers 表示，他的德國機構也曾遇到攻擊，但未見黑客成功利用該漏洞。
他説：「要利用這個漏洞，似乎比預期複雜一點。」
儘管 AI 提供了發現漏洞的新方法，保障系統安全所需的工作仍較為日常。網絡安全機構敦促機構安裝 PHP Foundation 提供的修補程式，這個程序稱為修補。
荷蘭機構的 van Amelsfort 説：「你現在要做三件事。就是修補、修補、還是修補。」
John Sakellariadis 亦有參與本報道。
Axel Springer Global Reporters Network 善用公司的新聞編輯室資源，發表重要獨家報道、調查報道、訪問、評論文章及分析。這個網絡讓記者——包括來自 POLITICO、The Telegraph、Business Insider、WELT、BILD、Onet 和 Fakt 的記者——合作撰寫重大報道，透過網上、印刷版、電視及音訊平台，面向數以億計的國際讀者。
閲讀下一篇
Business Insider 為你報道你想了解的創新故事
Business Insider 為你報道你想了解的創新故事
Business Insider 為你報道你想了解的創新故事
Business Insider 為你報道你想了解的創新故事
來源：Business Insider Tech · businessinsider.com