PHP2Shell騒動、AIが既知の脆弱性を悪用しやすくした経緯

PHP2Shellと総称される脆弱性の公開を受け、セキュリティ担当者やWeb管理者が今週パッチ適用に追われた。Cloudflareの分析では、公開から数時間で数百万件の悪用試行があった。一方でPHP Foundationは成功した悪用を確認しておらず、出回っている攻撃コードの多くは機能していないようだという。 最初にこの脆弱性を特定して攻撃コードを作ったのは、セキュリティ企業Calif の研究者で、8月初めのことである。OpenAIのPatch the Planetプログラムの下でフロンティアAIツールを使いつつ、PHPに関する専門家の知見も組み合わせた。根本的な問題の一部は2024年に把握されていたが、当時は悪用が複雑すぎると判断されていた。その後、OpenAIの研究者とGoogle傘下のWizの研究者も、それぞれ独立にAIツールで欠陥を見つけた。Wizの研究者は、人間の攻撃者には悪用できなかったため放置されていたと述べている。 AIモデルの能力向上で脆弱性の分析と悪用は速くなり、リソースの乏しいIT部門や開発者への負担が増している。Microsoftのセキュリティ更新は今月だけで過去最多の1,453件の脆弱性を含み、Bank of Americaは Anthropicの Mythosが見つけた欠陥の修正のためコンサルタント1,000人を採用したという。 専門家は、AIが新しいことをしているのではなく、脆弱性発見と協調的開示という既存の力学を増幅しているにすぎないと強調する。元NSAハッカーのJake Williamsは、長期間残るバグはさらに見つかるとしつつ、PHPほどインターネットに露出した攻撃対象は他に多くないと指摘した。Califの研究者Ryan Austinは、単純なプロンプトで全てのバグを掘り出せるモデルはないと書いている。Niels Provosも、AIでの探索が1年以上続く中でこの件にも高度な専門チームが必要だったとして、懸念していないと語った。

WIRED AIより

推移を表示するための継続的な観測データがまだ足りません。