Naujai atskleistos PHP saugumo spragos, kurias padėjo identifikuoti dirbtinis intelektas (DI), sukėlė milijonus automatizuotų bandymų jomis pasinaudoti. Nors DI modeliai dar negali savarankiškai rasti visų klaidų, šis atvejis, pavadintas PHP2Shell, rodo, kaip technologijos paverčia senas, dešimtmetį ignoruotas spragas realia ir greitai išnaudojama grėsme.

Teorinės klaidos tampa praktinėmis

Saugumo bendruomenę sukrėtęs incidentas atskleidė esminį pokytį: DI geba sujungti sudėtingas klaidų grandines, kurios anksčiau buvo laikomos per daug painiomis, kad jas būtų galima praktiškai panaudoti atakai. „Wiz“ saugumo tyrėjas Sagi Tzadikas pažymi, kad ši pažeidžiamybė PHP komandai buvo žinoma ne vienerius metus, tačiau ji nebuvo taisoma, nes manyta, jog žmogus-užpuolikas tiesiog nesugebės ja pasinaudoti.

DI modeliai šią prielaidą sugriovė. Naudodami mašininį mokymąsi, tyrėjai iš „Calif“, „OpenAI“ ir „Wiz“ nepriklausomai vieni nuo kitų įrodė, kad automatizuotas loginis mąstymas gali paversti teorinius kodo trūkumus veikiančiais įrankiais įsilaužimui. Tai sukuria naują spaudimą IT komandoms, nes laiko tarpas nuo spragos paskelbimo iki masinių atakų pradžios susitraukė iki kelių valandų. Cloudflare duomenimis, milijonai bandymų pasinaudoti šiomis klaidomis užfiksuoti beveik iškart po jų paviešinimo.

Žmogiškoji patirtis išlieka būtina

Nepaisant įspūdingo DI greičio, technologija kol kas nėra autonomiškas „klaidų medžiotojas“. Sėkmingam pažeidžiamumų atradimui vis dar reikalingi aukštos kvalifikacijos specialistai, turintys gilių žinių apie PHP dinamiką ir silpnąsias vietas. Tyrėjas Ryanas Austinas iš „Calif“ pabrėžia, kad joks modelis šiuo metu nesugeba aptikti visų klaidų vien paprastomis užklausomis.

Saugumo inžinierius Nielsas Provosas laikosi dar santūresnės nuomonės. Jis teigia nesibaiminantis, kad DI sukels nesuvaldomą naujų ar istorinių spragų bangą. Pasak jo, net ir šiuo atveju prireikė itin kompetentingos komandos, kuri nukreiptų DI įrankius tinkama linkme. Tai rodo, kad DI šiuo metu veikia kaip jėgos daugiklis ekspertų rankose, o ne kaip savarankiška grėsmė.

Dešimtmečio senumo kodo našta

Viena didžiausių rizikų, kurią išryškino šis incidentas, yra „ilgaamžės“ klaidos. Jake'as Williamsas, „Hunter Strategy“ tyrimų ir plėtros viceprezidentas bei buvęs NSA hakeris, prognozuoja, kad ateityje matysime vis daugiau atvejų, kai DI ištraukia į paviršių klaidas, egzistavusias programinėje įrangoje dešimtmetį ar ilgiau. PHP šiuo atžvilgiu yra unikali taikinio zona dėl savo milžiniško paplitimo ir tiesioginio prieinamumo internete.

Visgi ekspertai ramina, kad „lengvai pasiekiamų vaisių“ kiekis yra ribotas. Dauguma kitų kritinių įrankių nėra taip atvirai pasiekiami iš išorės kaip PHP, todėl masiškai išnaudoti senas jų klaidas bus sudėtingiau. Be to, PHP Foundation atstovai teigia, kad nors bandymų pulti buvo milijonai, daugelis viešai platinamų kenkėjiškų kodų pasirodė esą neefektyvūs, o sėkmingų įsilaužimų kol kas neužfiksuota.

Nauja realybė administratoriams

Ši situacija iliustruoja besikeičiančią saugumo dinamiką: DI nekuria naujų problemų, bet radikaliai pagreitina esamų klaidų aptikimą ir jų koordinuotą viešinimą. Organizacijoms tai reiškia, kad „saugumo per neaiškumą“ (angl. security through obscurity) era baigėsi. Jei klaida egzistuoja, DI padės ją rasti greičiau nei bet kada anksčiau.

Artimiausiu metu IT skyriams teks susitaikyti su augančiu darbo krūviu. Pavyzdžiui, vien šį mėnesį „Microsoft“ saugumo atnaujinimai apėmė rekordinį kiekį – 1 453 pažeidžiamumus. Gebėjimas operatyviai diegti pataisas tampa kritiniu išgyvenimo faktoriumi, nes teorinė galimybė, kad „niekas šios klaidos neras“, nebėra pagrįsta strategija.

Šaltiniai

  1. [1] [Wired.com | 2026-10-25] The PHP Meltdown Shows How AI Makes Bugs More Exploitable | WIRED
  2. [2] [Techbytes.app | 2026-10-24] The PHP Meltdown Shows How AI Makes Bugs More Exploitable | Tech Bytes
  3. [3] [Theboldnews.com | 2026-10-24] The PHP Meltdown Shows How AI Makes Bugs More Exploitable
  4. [4] [Philstockworld.com | 2026-10-24] The PHP Meltdown Shows How AI Makes Bugs More Exploitable