Хиймэл оюун ухааны дэвшилтэт загварууд нь олон жил мэдэгдэж байсан ч ашиглахад төвөгтэй байсан програм хангамжийн сул талуудыг илрүүлж, аюулгүй байдлын эрсдэлийг нэмэгдүүлж байна.
PHP программчлалын хэлэнд илэрсэн “PHP2Shell” хэмээх эмзэг байдлыг засварлахаар аюулгүй байдлын багууд энэ долоо хоногт шуурхай ажиллалаа. Cloudflare-ийн мэдээлснээр, тус сул тал олон нийтэд зарлагдсанаас хойш хэдхэн цагийн дотор хакерууд сая сая удаа халдах оролдлого хийсэн байна. Хиймэл оюун ухааны хэрэгслүүд нь халдагчдад програм хангамжийн сул талыг хурдан олж ашиглахад илүү хялбар болгож байгаа нь энэ үйл явдлаас тодорхой харагдлаа.
PHP Foundation-аас мэдээлснээр одоогоор энэхүү эмзэг байдлыг ашиглан амжилттай халдлага үйлдсэн тохиолдол бүртгэгдээгүй байна. Гэсэн хэдий ч Calif аюулгүй байдлын компанийн судлаачид OpenAI-ийн “Patch the Planet” хөтөлбөрийн хүрээнд хиймэл оюун ухааныг ашиглан уг сул талыг илрүүлж, туршилтын халдлагуудыг бүтээжээ. Wiz компанийн судлаач Саги Цадикийн тайлбарласнаар, уг асуудал олон жилийн турш мэдэгдэж байсан ч хүний хүчин чармайлтаар ашиглахад хэт төвөгтэй байсан тул шийдэгдээгүй үлдсэн байжээ.
Хиймэл оюун ухааны хүчин чадал нэмэгдэж байгаа нь мэдээллийн технологийн салбарынханд илүү их дарамт учруулж байна. Microsoft энэ сард 1,453 аюулгүй байдлын сул талыг илрүүлж засварласан бол Bank of America банк Anthropic-ийн Mythos хэрэгслээр илрүүлсэн алдаануудыг засахаар 1,000 зөвлөх ажилд авчээ. Аюулгүй байдлын судлаачид хиймэл оюун ухаан нь цоо шинэ эрсдэл биш, харин эмзэг байдлыг илрүүлэх болон мэдээлэх үйл явцыг улам бүр эрчимжүүлэгч хүчин зүйл болж байгааг онцолж байна.
Дэлгэрэнгүйг эх сурвалжаас харах
↓Эх сурвалжийг нээх ↓
Welcome to Kernel Panic, a weekly newsletter by Lily Hay Newman and Matt Burgess from inside the new world of privacy and digital security. To receive this newsletter in your inbox each week, sign up here.
As security teams and web admins scrambled this week to patch newly public PHP bugs, criminal hackers quickly attempted to exploit the flaws in the wild. Millions of exploitation attempts hit within hours of the vulnerabilities being published, according to analysis from Cloudflare—unsurprising given broad access to AI tools that can make it easier for attackers to quickly exploit flaws.
So far, the nightmare scenario of mass victim takeovers and breaches hasn’t come to pass. The PHP Foundation says it hasn’t seen any successful exploitation of the bugs, collectively dubbed PHP2Shell, and many publicly circulating potential exploits appear to be ineffective. However, perhaps the most interesting role of AI amid the chaos this week is how advanced models helped researchers uncover practical exploitations for the vulnerabilities, which were known about, at least in part, for years. In other words, AI helped turn historic vulnerability into a current crisis.
So are we all about to be walloped by a wave of critical vulnerabilities that have been kicking around for decades?
Researchers at security company Calif were the first to identify the PHP2Shell vulnerabilities and create exploits in early August—partially using frontier AI tools as part of OpenAI’s Patch the Planet program, but also using expert human knowledge of PHP, its dynamics, and its weaknesses. Some of the underlying issues were identified in 2024 but were deemed too complex to exploit at the time. Following Calif’s discovery, researchers at OpenAI and the Google-owned security firm Wiz independently discovered PHP2Shell flaws using AI tools.
“The vulnerability had been known to the PHP team for years, but because it could not be leveraged by an attacker—at least, not a human one—it was not addressed,” says Sagi Tzadik, a security researcher at Wiz.
No software is perfect. There are inevitably flaws in even the most critical, foundational digital tools, but the expanding capabilities of AI models have made it faster to analyze and potentially exploit vulnerabilities. This puts even more pressure on under-resourced IT teams, developers, and admins to keep up. Microsoft’s security updates included a record 1,453 security vulnerabilities this month alone. Meanwhile, Bank of America recently hired 1,000 consultants to fix flaws discovered by Anthropic’s Mythos. Security researchers emphasize, though, that AI is ultimately not doing anything new, but rather magnifying existing dynamics of vulnerability discovery and coordinated disclosure.
