Dobrá správa pre kybernetickú bezpečnosť: v ére umelej inteligencie zvíťazili tí dobrí
Výskumníci objavili spôsob, ako zneužiť dve bezpečnostné zraniteľnosti v PHP, programovacom jazyku používanom pri tvorbe webových stránok a aplikácií. Firmy v stredu vyzvali, aby si nainštalovali bezpečnostnú záplatu. Počas jej inštalácie bolo niekoľko webových stránok a služieb dočasne nedostupných, Spojené státy oznámili preverovanie vládnych systémov a urýchlenie zavádzania ochranných opatrení. Médiá tomu venovali len minimálnu pozornosť.
Za všeobecným dojmom, že sa vlastne nič nestalo, sa však môže skrývať mimoriadne úsilie ľudí, ktorí zatiaľ dokázali odvrátiť katastrofu. Ide o doteraz najvýznamnejšie víťazstvo obrancov v novej ére kybernetickej bezpečnosti a umelej inteligencie a zároveň povzbudenie pre odvetvie kybernetickej bezpečnosti, ktoré sa usiluje dokázať, že jeho služby sú dnes cennejšie než kedykoľvek predtým.
Zraniteľnosti s názvom PHP2Shell mohli podľa spoločnosti Wiz, poskytovateľa kybernetickej bezpečnosti patriaceho Googlu, zasiahnuť približne „70 percent všetkých webových stránok na svete“. Tieto hlboko zakorenené chyby existovali viac ako desať rokov a umožňovali útočníkom spúšťať programový kód na diaľku. „Tieto zistenia patria medzi najzávažnejšie bezpečnostné zraniteľnosti, aké boli kedy objavené v PHP, a pravdepodobne aj v celej histórii softvéru,“ napísala spoločnosť Wiz.
Preventívne opatrenia sa začali prijímať po celom svete. Webové stránky viacerých európskych vlád a miestnych samospráv boli dočasne nedostupné. V Spojenom kráľovstve BBC odstavila časť svojho webu pre údržbu. Japonská premiérka Sanae Takaičiová vyzvala firmy, aby bezpečnostnú záplatu nainštalovali čo najskôr. Zatiaľ sa však všetko obmedzilo práve na tieto preventívne opatrenia.
Zraniteľnosti PHP2Shell boli objavené v auguste s pomocou najpokročilejších modelov umelej inteligencie, označovaných ako „frontier models“. Spoločnosť Wiz odhalila zraniteľnosti v auguste. Nezávisle od nej ich objavila aj ďalšia kyberbezpečnostná spoločnosť Calif, ktorá spolupracovala s OpenAI v spoločnej iniciatíve Patch the Planet. Tá vznikla v reakcii na obavy, že umelá inteligencia môže dramaticky posilniť schopnosti kybernetických zločincov a nepriateľských štátov.
Išlo o oveľa zložitejšiu úlohu než len požiadať model umelej inteligencie, aby našiel chybu. Bola to súhra modelov a ľudských odborníkov, ktorá umožnila uskutočniť to, čo spoločnosť Wiz opísala ako „mimoriadne zložitý sled krokov na hranici toho, čo by ľudskí výskumníci dokázali v praxi zvládnuť“. Jediný člen jej výskumného tímu podľa firmy zvládol za týždeň prácu, ktorá by špičkovému svetovému tímu zabrala celé mesiace.
Po odhalení chýb sa za zatvorenými dverami rozbehli práce na ich odstránení. Tím, ktorý spravuje PHP, programovací jazyk s otvoreným zdrojovým kódom, začal pripravovať opravu. Informované boli aj popredné spoločnosti prevádzkujúce internetovú infraštruktúru, napríklad Amazon Web Services a Cloudflare. Informácie o zraniteľnostiach aj o spôsobe ich odstránenia boli zverejnené v stredu. Bezpečnostná záplata vyšla už ráno, o deň skôr, než sa plánovalo, pretože niektoré podrobnosti medzičasom unikli na verejnosť.
Keďže informácie o zraniteľnostiach sú už verejné, slabé miesta teraz vyhľadávajú aj hackeri. Niektorí ich už dokonca začali zneužívať. Technologický riaditeľ Cloudflare Dane Knecht uviedol, že spoločnosť ešte pred vydaním bezpečnostnej záplaty zaznamenala „prvé objavujúce sa útoky“ na svojich zákazníkov. Tieto útoky sú však zanedbateľné v porovnaní s tým, čo sa mohlo stať, keby bezpečnostné chyby ako prví objavili útočníci.
Prípad zdôrazňuje rastúci význam špecializovaných kyberbezpečnostných spoločností v ére umelej inteligencie. Ešte vo februári sa akcie popredných firiem, ako sú Cloudflare a CrowdStrike, prudko prepadli. Investori sa obávali, že laboratórium umelej inteligencie Anthropic ich pripraví o zákazníkov. Dnes sa tieto obavy zdajú absurdné. Akcie Cloudflare po zverejnení správy vzrástli približne o sedem percent a od februárového otrasu si pripísali už 76 percent. Akcie CrowdStrike sa za rovnaké obdobie posilnili o 146 percent.
Spoločnosti vyvíjajúce umelú inteligenciu teraz pomáhajú brániť sa pred rizikom, na ktorého vzniku sa samy podieľali. Rovnaká technológia, ktorá dokáže objavovať nové lieky alebo písať zložitý programový kód, sa dá využiť aj na prenikanie do počítačových systémov. Incident by však mal dodať optimizmus. Jeho hlavné ponaučenie spočíva v tom, že spolupráca bezpečnostných výskumníkov s laboratóriami vyvíjajúcimi najpokročilejšie modely umelej inteligencie poskytla svetu časový náskok pred vážnou hrozbou. Takáto spolupráca musí pokračovať a ďalej sa rozširovať.
