OpenAI、PHPの重大な脆弱性対応を主導し、Patch the Planetで世界的な調整の枠組みを提案

対象はWebサイトやWebアプリの運用に使われるオープンソース言語PHPの脆弱性である。修正とリリースはPHPのメンテナーが主導し、OpenAIのチームとWiz、Cloudflareなどのパートナーが調査、技術支援、開示前の防御準備を担った。OpenAIは、深刻度とPHPの普及度から、近年でも特に影響の大きいセキュリティ問題の一つとみている。フロンティアAIが攻撃者より先に脆弱性を見つけたことで、メンテナーや事業者が修正と防御を準備できる「Defender's Window」が生まれたと説明している。

OpenAIは今後数か月で同様の発見が急増すると見込み、重大な脆弱性への対応枠組みを提案している。段階は五つある。上流で脆弱性を検証して修正する、影響を受ける組織に準備の時間を与える、政府機関と連携する、影響を受ける製品全体で更新を準備する、パッチ公開後にガイダンスを出して展開を支援する、である。修正の検証には、フロンティアモデルを使った回避策や関連する変種の探索も含まれる。

PHPの件では、米国の政府機関など複数の部門や国際パートナーとも連携した。事前情報を受ける組織は、自組織や顧客を守る役割、対応に要する時間、機微情報を扱う能力で検討され、誰を関与させるかはメンテナーが決める。悪用の確認、情報漏えい、パッチから内容が推測される場合などには、タイムラインを見直すとしている。Patch the PlanetのサイトではPHPの公式パッチや手順、暫定的な緩和策などを案内している。

メンテナー支援としては、資金提供、高性能モデルへのアクセス、エンジニアリング支援を挙げている。Codex for OSSによる全メンテナー向けサブスクリプションや、Rust Foundationへの直接支援も含まれ、オープンソースプロジェクトはPatch the Planetに支援を申請できる。Daybreak向けには追加のブロック用分類器を調整中で、悪用防止と正当なセキュリティ作業の妨げとのトレードオフがあると述べている。

さらに、安全なコードの初期段階からの作成、メモリ安全な言語への移行、形式検証、サンドボックスによる隔離強化を、より安全なソフトウェア基盤の方向性として示した。開示期間、緊急パッチ、事前通知の範囲、secure-by-defaultなパッケージについて、セキュリティコミュニティにフィードバックを求めている。