За последние два месяца мы возглавили коалицию сопровождающих ПО, исследователей и поставщиков решений безопасности, чтобы устранить критические уязвимости в PHP — языке программирования с открытым исходным кодом, на котором работают сайты и веб-приложения. Calif обнаружила критическую уязвимость с помощью GPT‑5.6 Sol в рамках нашей инициативы Patch the Planet(открывается в новом окне). Wiz также независимо обнаружила обе уязвимости и сообщила о них. Команда сопровождения PHP руководила подготовкой и выпуском исправлений. Наши команды и партнёры, включая Wiz и Cloudflare, помогали с исследованиями, технической поддержкой и координацией, чтобы подготовить защиту до раскрытия информации.
Для организаций, использующих PHP, сейчас главное — установить исправления. Мы публикуем средство проверки версий PHP в виде навыка Codex(открывается в новом окне) для выявления потенциально уязвимых версий. Вместе с рекомендациями команды PHP и поставщиков услуг оно поможет администраторам определить, какие обновления нужны.
Учитывая серьёзность этих уязвимостей и распространённость PHP, мы считаем их одной из наиболее значимых проблем безопасности за последнее время. Этот случай показывает, как ИИ может выявлять уязвимости, влияющие на весь интернет. Но те же возможности могут помогать злоумышленникам быстро создавать инструменты атак и эксплойты.
Насколько нам известно, передовой ИИ нашёл эти уязвимости раньше злоумышленников, открыв окно возможностей для защитников: команды сопровождения и поставщики решений безопасности получили время на подготовку исправлений и защиты до раскрытия информации.
Чтобы больше специалистов по защите могли использовать эти возможности, мы обязались выделить 1 млрд долларов США на субсидирование доступа к Daybreak через программу «Daybreak for Frontline Defenders». Она ориентирована на организации, которые защищают жизненно важные службы, располагая ограниченными ресурсами для обеспечения безопасности.
При всей их серьёзности эти ошибки — лишь часть серьёзных уязвимостей, которые мы уже нашли и над устранением которых работаем. В ближайшие месяцы мы ожидаем резкого роста числа подобных находок. Опираясь на накопленный опыт, мы предлагаем подход к реагированию на критические уязвимости в широко используемом ПО с учётом реалий эпохи ИИ, и просим сообщество специалистов по безопасности помочь его улучшить. Этот подход объединяет возможности наших моделей, наш опыт в области безопасности и работу команд сопровождения, чтобы на основе обнаруженных уязвимостей вырабатывать меры защиты и выстраивать процесс реагирования, который можно масштабировать по мере развития ИИ.
Для внедрения исправления могут потребоваться его адаптация к старым версиям, подготовка защитных мер поставщиками услуг и обновление систем во множестве организаций. Отлаженный процесс помогает этим командам действовать быстро по мере обнаружения новых уязвимостей.
В рамках Patch the Planet мы предоставили экспертную помощь в области безопасности и доступ к моделям для поддержки реагирования на уязвимости в PHP, а также помогли командам сопровождения и партнёрам-исследователям проверить исправления и подготовить рекомендации. Мы также помогали координировать защиту затронутых систем с поставщиками инфраструктуры и привлекли государственные ведомства кибербезопасности, чтобы донести рекомендации до критически важных организаций. Это поддержало усилия команды сопровождения, руководившей реагированием на уязвимости, и помогло другим специалистам по защите подготовить необходимые меры.
В некоторых случаях исследователи могут напрямую работать с командой сопровождения ПО, чтобы изучить проблему и разработать исправление. В других требуется более широкое реагирование: уязвимость затрагивает много продуктов либо дистрибьюторам и поставщикам услуг нужно время на подготовку обновлений и защиты. Его может не хватить, если возможности передового ИИ лишь ненамного превосходят возможности общедоступных систем. В таких случаях предлагаемый подход поможет командам сопровождения определить круг участников и скоординировать работу. Реагирование может включать пять этапов:
Подтвердить и устранить уязвимость в исходном проекте. Команда сопровождения, исследователи и ключевые технические партнёры подтверждают находку, оценивают её последствия, разрабатывают и проверяют исправление. В том числе они моделируют атаки с помощью передовых моделей ИИ, чтобы найти способы обойти исправление и выявить связанные варианты уязвимости.
Дать затронутым организациям время принять меры. Мы предлагаем принципы определения организаций, которым нужна предварительная информация для подготовки защиты. Решение об участниках остаётся за командой сопровождения. Мы помогаем налаживать контакты, заключать соглашения об обмене информацией и координировать работу команд. Дистрибьютор может адаптировать исправление к старой версии, хостинг-провайдер — проверить временную защиту, а поставщик решений безопасности — подготовить меры обнаружения или предотвращения атак, включая правила межсетевого экрана веб-приложений (WAF).
Координировать работу с государственными партнёрами для защиты критически важных систем. Государственные ведомства играют важнейшую роль в координации масштабного реагирования и распространении рекомендаций среди организаций, отвечающих за критическую инфраструктуру и другие жизненно важные службы. Для поддержки реагирования на уязвимости в PHP мы совместно с партнёрами налаживали взаимодействие с различными структурами правительства США, включая рабочую группу «Силы суперинтеллекта» при Белом доме, Управление национального директора по кибербезопасности (ONCD) и Агентство по кибербезопасности и защите инфраструктуры (CISA), а также с международными партнёрами.
Подготовить обновления для затронутых продуктов. По мере согласования исправления, рекомендаций и планов раскрытия команды сопровождения могут привлекать других дистрибьюторов, хостинг-провайдеров, поставщиков услуг, команды реагирования и администраторов для подготовки обновлений и устранения пробелов в защите.
После выпуска исправления опубликовать рекомендации и помочь с внедрением. Открытые рекомендации помогают оценить подверженность риску, найти официальные обновления или временные меры защиты и проверить, что исправление действует. Реагирование продолжается, пока администраторы устанавливают обновления и сообщают, где нужна помощь.
Предлагаемый подход учитывает роль организации в защите, в том числе собственных систем и клиентов, необходимое ей время и способность обращаться с конфиденциальной информацией. К сопоставимым организациям применялись бы одинаковые критерии, а команды сопровождения решали бы, кого привлечь до раскрытия информации.
Каждый участник получает сведения, необходимые для защиты: от сетевых журналов с индикаторами компрометации до более конфиденциальных рабочих эксплойтов, демонстрирующих уязвимость. Даже ограниченный объём сведений может раскрыть уязвимость, поэтому мы сопоставляем риск их передачи с защитой, которую они позволяют обеспечить.
Следуя этому подходу, команды вместе с сопровождающими ПО давали бы защитникам время на подготовку и пересматривали сроки при активном использовании уязвимости в реальных атаках, утечке информации, публикации исправления, раскрывающего уязвимость, или росте риска для пользователей из-за задержек с устранением уязвимости.
На сайте Patch the Planet(открывается в новом окне) собраны опубликованные сведения об уязвимостях и рекомендации, помогающие администраторам выявить затронутые системы, найти нужное обновление и проверить корректность работы обновлённого ПО. Для PHP там приведены ссылки на официальное исправление, инструкции по обновлению от команды сопровождения и технические исследования наших партнёров. Рекомендации также охватывают временные меры защиты, случаи, когда стоит привлечь поставщика услуг или эксперта, резервное копирование и восстановление. Временная защита может снизить риск, но мы будем чётко обозначать её ограничения и влияние на работу систем.
Администраторы могут использовать рекомендации CISA по определению приоритетов и устранению уязвимостей(открывается в новом окне), чтобы определить, насколько срочно нужно действовать, учитывая, насколько системы открыты для атак, используется ли уязвимость злоумышленниками и каковы возможные последствия. Это может потребовать экстренной установки исправления, немедленных защитных мер или планового обновления, а при необходимости — первичного анализа методами цифровой криминалистики, чтобы выяснить, не были ли системы уже скомпрометированы. При изменении условий следует пересматривать приоритеты, сохраняя чёткий план окончательного устранения проблемы.
Глобальная координация зависит от людей, которые сопровождают ПО. Многие проекты ведут небольшие команды, которые рассматривают сообщения об уязвимостях наряду с повседневной разработкой. Им нужна помощь, чтобы отличать новые проблемы от повторных сообщений, оценивать последствия и проверять исправления во всех поддерживаемых версиях. Мы поддерживаем эту работу финансированием, доступом к мощным моделям и практической инженерной помощью.
Возможности ИИ быстро развиваются во всей отрасли. Мы ожидаем, что ИИ будет всё активнее помогать специалистам по защите находить уязвимости, отслеживать состояние систем и реагировать на угрозы. Мы инвестируем в модели, инструменты и партнёрства, чтобы специалисты по защите могли применять эти возможности на практике.
В числе наших инвестиций — подписки для всех сопровождающих ПО через Codex for OSS и прямое спонсирование таких проектов, как Rust Foundation(открывается в новом окне), для поддержки команд сопровождения и технических работ. Каждый проект сам определяет свои приоритеты. Многократно используемые тесты и процессы обеспечения безопасности могут сократить трудозатраты на работу с уязвимостями, которые будут обнаружены в будущем. Проекты с открытым исходным кодом могут подать заявку в Patch the Planet(открывается в новом окне), чтобы получить практическую помощь.
Мы также настраиваем дополнительные классификаторы блокировки для Daybreak, чтобы снизить риск ненадлежащего использования. Здесь приходится искать непростые компромиссы: меры против злоупотреблений могут блокировать и законную работу по обеспечению безопасности. И широкий доступ к мощным моделям, и эффективная защита от ненадлежащего использования критически важны. Наша цель — сохранить возможности, необходимые специалистам по защите для поиска и устранения уязвимостей, ограничивая вредоносное использование. Мы продолжим корректировать этот баланс по мере развития возможностей и накопления опыта использования инструментов.
По мере развития моделей открываются возможности не только для поиска и устранения отдельных уязвимостей. Мы хотим помочь инженерам создавать более безопасное ПО с самого начала. Улучшения широко используемого компонента могут предотвратить ошибки или ограничить их последствия во множестве продуктов и сервисов.
ИИ может помогать инженерам разбираться в существующем коде, готовить изменения и разрабатывать тесты, а команды сопровождения и эксперты по безопасности — проверять, сохраняют ли эти изменения поведение, на которое рассчитывают пользователи. Мы видим возможности в нескольких направлениях:
Безопасный код с самого начала. Модели для программирования могут помогать разработчикам выбирать более безопасные настройки по умолчанию, правильно использовать библиотеки безопасности и замечать рискованные конструкции при написании кода. Предотвращение уязвимостей при разработке означает меньше экстренных исправлений для команд сопровождения и пользователей.
ПО с безопасной работой с памятью. Перенос критически важных компонентов на языки с безопасной работой с памятью может устранить распространённые классы ошибок при работе с памятью. ИИ может помочь с переносом, а тесты и экспертная проверка — подтвердить корректность поведения и совместимость.
Формальная верификация. Математические доказательства позволяют показать, что при заданных допущениях критически важные компоненты обладают определёнными свойствами безопасности. Применение этих методов к широко используемым компонентам могло бы исключить целые классы уязвимостей в зависящих от них сервисах и критической инфраструктуре.
Более надёжная изоляция. Системам нужна защита от уязвимостей, которые ещё не найдены или не устранены. Запуск ПО, обрабатывающего недоверенные файлы, изображения или медиаданные, в песочницах с жёсткими ограничениями может снизить ущерб при его компрометации. ИИ может помогать инженерам проверять и укреплять широко используемые технологии изоляции, улучшая защиту множества приложений.
Мы делимся нашим подходом, чтобы команды сопровождения, исследователи, команды реагирования, поставщики услуг и администраторы помогли сделать его применимым на практике. Мы хотим понять, где он поможет, где может вызвать задержки или лишнюю нагрузку и что мы упустили. Особенно полезны будут примеры из прошлых случаев раскрытия уязвимостей.
Нас особенно интересуют следующие вопросы:
Сроки раскрытия информации. Сколько времени нужно командам сопровождения, администраторам и специалистам по защите для подготовки и внедрения надёжных исправлений? Какие данные должны стать основанием для более раннего раскрытия, особенно если одних пользователей можно защитить раньше других?
Экстренная установка исправлений. Когда государственным органам или другим организациям, эксплуатирующим системы следует использовать уязвимость для установки исправлений в системах, которые им принадлежат или которыми они уполномочены управлять после утраты административного доступа — и допустимо ли это вообще? Какие меры предосторожности необходимы? В перспективе можно представить непрерывное сканирование всего интернета на известные уязвимости с уведомлением владельцев сайтов при обнаружении проблемы либо с установкой исправления в системе.
Предварительное уведомление. Кого нужно предупредить заранее, чтобы дать возможность принять действенные меры защиты? Есть ли среди них специалисты по защите, которых мы могли не учесть? Когда поэтапное уведомление эффективнее одновременного оповещения широкого круга участников и как соотносить охват с риском утечки?
Программные пакеты, безопасные по умолчанию. Как помочь находить и устранять уязвимости в производных пакетах, пока исправления в исходных проектах ещё не готовы, или переносить исправления в старые версии, для которых больше не выпускаются обновления безопасности? Какие тесты и сопровождение сделают эти пакеты надёжной альтернативой, когда своевременное обновление невозможно?
Также будем рады, если вы порекомендуете независимых экспертов по безопасности, которые смогут оценить подход, поставить под сомнение его предпосылки и выявить пробелы. Ваши отзывы помогут нам улучшить реагирование и определить приоритеты поддержки. Поделитесь своим мнением здесь(открывается в новом окне).
