OpenAI اعلام کرده مدل‌های هوش مصنوعی این شرکت در شناسایی آسیب‌پذیری‌های امنیتی مهم در PHP نقش داشته‌اند؛ نقص‌هایی که اکنون وب‌سایت‌های زیادی را در سراسر اینترنت با چالش‌های امنیتی روبه‌رو کرده‌اند.
این شرکت در مطلبی که روز چهارشنبه منتشر کرد، توضیح داد طی دو ماه گذشته ائتلافی متشکل از توسعه‌دهندگان PHP، پژوهشگران امنیت سایبری و شرکت‌های فعال در این حوزه را برای مقابله با این آسیب‌پذیری‌ها هدایت کرده است. این نقص‌ها با نام PHP2SHELL شناخته می‌شوند. بنیاد PHP نیز روز چهارشنبه در مطلبی جداگانه از OpenAI و دیگر شرکای صنعتی و پژوهشگران امنیتی به‌دلیل همکاری در این پروژه قدردانی کرد.
آسیب‌پذیری‌های تازه شناسایی‌شده می‌توانند به مهاجمان اجازه دهند کنترل سرورهای مجهز به PHP را به دست بگیرند. این زبان برنامه‌نویسی زیربنای بخش بزرگی از وب‌سایت‌های اینترنتی به شمار می‌رود. OpenAI این مشکلات امنیتی را یکی از تأثیرگذارترین تهدیدهای سایبری در سال‌های اخیر توصیف کرده است.
به گفته OpenAI، شرکت امنیت سایبری کالیف با استفاده از مدل GPT-5.6-Sol این شرکت و در چارچوب برنامه امنیتی Patch the Planet موفق به شناسایی یکی از آسیب‌پذیری‌های بحرانی شد. شرکت امنیت سایبری ویز نیز به‌طور مستقل هر دو آسیب‌پذیری را کشف و گزارش کرد. مسئولیت اصلی آماده‌سازی و انتشار اصلاحیه‌ها بر عهده توسعه‌دهندگان PHP قرار داشت. OpenAI، ویز، کلادفلر و دیگر شرکای این ائتلاف نیز در تحقیقات و آماده‌سازی تدابیر حفاظتی پیش از انتشار عمومی جزئیات همکاری کردند.
گرگ بروکمن، رئیس OpenAI، در پیامی در شبکه اجتماعی ایکس اطلاعات بیشتری درباره این اتفاق منتشر کرد. او گفت این آسیب‌پذیری حدود ۱۴ سال در PHP وجود داشته. نسخه محدودتری از این مشکل در سال ۲۰۲۴ شناسایی شده بود، اما در آن زمان تهدیدی جدی تلقی نمی‌شد. شرکت کالیف در ماه اوت نسخه‌ای از این نقص را پیدا کرد و تیم داخلی OpenAI نیز در ماه سپتامبر به‌طور مستقل نسخه کامل‌تر آن را شناسایی کرد.
بروکمن گفت ائتلاف قصد داشت آسیب‌پذیری‌ها را در ۲۲ اکتبر افشا کند، اما اطلاعات پیش از موعد به بیرون درز کرد و توسعه‌دهندگان PHP ناچار شدند اصلاحیه‌ها را یک روز زودتر منتشر کنند. به گفته او، دو ماه آماده‌سازی همچنان اهمیت زیادی داشت، زیرا رفع این مشکلات پیچیده بود و افشای زودهنگام می‌توانست خسارت بسیار بیشتری به بار بیاورد.
OpenAI اعلام کرد در جریان رسیدگی به این پرونده با نهادهای دولتی آمریکا نیز همکاری داشته است. کاخ سفید، نیروی ویژه ابرهوش، دفتر مدیر ملی امنیت سایبری و آژانس امنیت سایبری و زیرساخت آمریکا از جمله نهادهای دخیل در این فرایند بودند.
افزایش نقش هوش مصنوعی در کشف آسیب‌پذیری‌های امنیتی
OpenAI معتقد است پرونده PHP آخرین نمونه از این نوع همکاری نخواهد بود. این شرکت اعلام کرده تاکنون چندین آسیب‌پذیری جدی دیگر را نیز شناسایی کرده و انتظار دارد در ماه‌های آینده تعداد چنین کشفیاتی به‌سرعت افزایش یابد.
امسال مدل‌های هوش مصنوعی جدیدی مانند GPT-5.6-Sol و کلود مایتوس باعث افزایش چشمگیر کشف باگ‌های امنیتی شده‌اند. این روند به اندازه‌ای سرعت گرفته که برخی ابتکارهای مرتبط با شناسایی آسیب‌پذیری‌های روز صفر، فعالیت خود را متوقف کرده‌اند. پیش‌تر رسانه مشبل نیز به این تحولات پرداخته بود.
بروکمن در توضیح محدودیت‌های روش‌های فعلی رسیدگی به آسیب‌پذیری‌ها گفت:
روش فعلی رسیدگی به این مشکلات کند و متکی بر فرایندهای دستی است و با پیشرفت بیشتر هوش مصنوعی، دیگر پاسخ‌گوی نیازها نخواهد بود.
OpenAI اکنون از جامعه امنیت سایبری خواسته است درباره ایجاد فرایندی تازه برای هماهنگی در افشای آسیب‌پذیری‌ها نظر بدهند. یکی از پیشنهادهای مطرح‌شده، واگذاری مسئولیت پایش دائمی اینترنت برای شناسایی سامانه‌های آسیب‌پذیر به دولت‌ها یا نهادهای مجاز حوزه دفاع سایبری است. در این طرح، مسئولان پس از شناسایی سامانه‌های آسیب‌پذیر به صاحبان آن‌ها هشدار می‌دهند و در شرایط بسیار بحرانی، حتی امکان اصلاح مستقیم سیستم‌ها را نیز بررسی می‌کنند.
OpenAI در عین حال به خطرهای احتمالی این رویکرد اذعان دارد. همان قابلیت‌های هوش مصنوعی که به مدافعان در کشف آسیب‌پذیری‌ها کمک می‌کنند، ممکن است به مهاجمان نیز امکان دهند ابزارهای سوءاستفاده از این نقص‌ها را سریع‌تر توسعه دهند. این شرکت همچنین ابزاری منتشر می‌کند که به مدیران وب‌سایت‌ها اجازه می‌دهد بررسی کنند آیا نسخه آسیب‌پذیر PHP روی سامانه‌هایشان اجرا می‌شود یا خیر.
اختلال در وب‌سایت‌های بزرگ هم‌زمان با انتشار اصلاحیه‌ها
تلاش برای نصب اصلاحیه‌های امنیتی در سراسر اینترنت به‌وضوح قابل مشاهده بوده است. ویکی‌پدیا صبح چهارشنبه از دسترس خارج شد و بنیاد ویکی‌مدیا در گفت‌وگو با مشبل تأیید کرد که این اختلال با آسیب‌پذیری‌های PHP ارتباط داشته. این بنیاد همچنین اعلام کرد برای احتیاط، برخی سامانه‌های دیگر را تا زمان اطمینان از امکان نصب ایمن اصلاحیه‌ها از دسترس خارج کرده است.
وب‌سایت‌های شناخته‌شده دیگری نیز با اختلال روبه‌رو شدند یا اطلاعیه‌های مربوط به تعمیر و نگهداری منتشر کردند. طبق اطلاعات وب‌سایت داوندتکتور، در جریان مشکلات مرتبط با PHP، سرویس‌های زیر نیز با اختلال مواجه شدند:
با این حال، بیشتر این سرویس‌ها هنوز اعلام نکرده‌اند که مشکلاتشان مستقیماً به آسیب‌پذیری‌های PHP مربوط بوده است یا خیر. از آنجا که این زبان برنامه‌نویسی در بخش بزرگی از اینترنت کاربرد دارد، احتمال ارتباط برخی اختلال‌ها با تلاش‌های گسترده برای ایمن‌سازی سامانه‌ها مطرح شده است.
واکنش‌ها به این تهدید امنیتی حتی به بالاترین سطوح دولت‌ها نیز رسیده. نخست‌وزیر ژاپن در اقدامی غیرمعمول، با انتشار پیامی عمومی در شبکه اجتماعی ایکس از مدیران وب‌سایت‌ها خواست هرچه سریع‌تر اقدامات امنیتی لازم را انجام دهند. این موضوع بر اساس ترجمه پیام منتشرشده به زبان ژاپنی گزارش شده است.
نخست‌وزیر ژاپن از صاحبان وب‌سایت‌ها خواست بررسی کنند که آیا سایت‌های عمومی آن‌ها از PHP استفاده می‌کنند یا خیر و به‌محض انتشار اصلاحیه، آن را نصب کنند. این درخواست برای همان شب مطرح شده بود و زمان انتشار اصلاحیه در ساعت ۱۱ شب ۲۱ اکتبر به وقت ژاپن تعیین شده بود؛ زمانی که با ساعت ۱۰ صبح به وقت شرق آمریکا مطابقت داشت.
برای بیشتر کاربران عادی، پیامدهای این ماجرا محدود به از دسترس خارج شدن موقت برخی وب‌سایت‌ها خواهد بود. کاربران نیازی به نصب نرم‌افزار یا انجام اقدام امنیتی خاصی روی دستگاه‌های خود ندارند، زیرا مسئولیت به‌روزرسانی و رفع آسیب‌پذیری‌ها بر عهده شرکت‌ها و مدیران وب‌سایت‌هایی است که از PHP استفاده می‌کنند.
نظرات کاربران