Irá a IA expor a frágil infraestrutura da Internet?

Um anúncio chocante foi divulgado no início desta semana: devido a uma vulnerabilidade descoberta recentemente na linguagem de programação de código aberto PHP, os proprietários de sites devem corrigir imediatamente seus sites – ou, se não puderem atualizar imediatamente, desativá-los para garantir a segurança.

No episódio desta semana do TechCrunch Stocks Podcast, Kirsten Korosec, Sean O’Kane e eu discutimos a importância do desastre do PHP e se veremos mais dele no futuro.

Sean chamou isso de “um verdadeiro momento de ajuste de contas”, enfatizando que “quando você chega ao ponto fraco da internet”, tudo parece estar “mantido unido por cola e sonhos”. Com o uso generalizado de grandes modelos de linguagem e agentes de inteligência artificial, a descoberta dessas vulnerabilidades só se tornará mais fácil. (Aquilo é, Essas vulnerabilidades específicas foram descobertas por pesquisadores humanosem vez de um modelo de inteligência artificial. )

Entretanto, Kirsten questiona se estamos prestes a ver “o próximo nível de apocalipse (…) porque podemos ver como os bancos estão a ser explorados e[com]os problemas de dados e privacidade, parece que é muito maior do que aquilo que podemos resolver neste momento”.

Continue lendo para visualizar nossa conversaeditado para maior extensão e clareza.

Sean O’Kane: Esta semana, a Internet parece estar mudando de várias maneiras.

Acho que a melhor maneira de pensar sobre isso é se as pessoas estão presas nesta apatia: quantas vezes nos últimos 10 anos tivemos um momento em que algo quebra ou quase quebra e um cara que faz um pequeno repositório de cópias como hobby ou algo assim acontece para descobrir algo maligno acontecendo e nos salva de um colapso total da infraestrutura da Internet?

Agora, multiplique esse número por um bilhão, e é aí que as pessoas não só terão acesso a software extremamente avançado na forma de LLMs que todos usam, mas também serão capazes de sair e fazer coisas e criar agentes de inteligência artificial que são obstinados em fazer essas coisas.

Vimos um equilíbrio de duas coisas acontecer esta semana. Uma delas é que alguns laboratórios e empresas como Google e OpenAI fizeram com que as pessoas saíssem e encontrassem um monte de vulnerabilidades, incluindo vulnerabilidades em PHP. Depois, também temos um grupo de pessoas que parecem ansiosas para explorar essas vulnerabilidades para tentar invadir sites. Portanto, temos governos fechando sites, temos sites muito populares que estão fechando brevemente para poder corrigir essa vulnerabilidade.

Este é um verdadeiro momento de ajuste de contas, à medida que descobrimos os riscos negativos do uso de tecnologias de código aberto como o PHP para construir grande parte da Internet. Quando você realmente se aprofunda nas entranhas da internet, descobrirá que ela está unida com cola e sonhos.

Antônio Ha: Há muitas coisas chocantes sobre isso. Uma é que, pelo menos até onde eu entendo, esta não é uma vulnerabilidade nova. Esta é uma vulnerabilidade de décadas no PHP.

PHP tem sido usado como linguagem de programação para construir muitas redes, então essa vulnerabilidade existe há décadas e ninguém sabia disso. Essencialmente, essas grandes empresas de IA (incluindo a Wiz, agora propriedade do Google) puderam usar o LL.M. para encontrar essas vulnerabilidades. (Como observado acima, eu estava errado: pesquisadores humanos envolvidos no OpenAI e no programa Hack the Planet da Wiz descobriram as vulnerabilidades, embora tenham usado IA para explorá-las.)

Acho que parte do cálculo é que precisamos corrigir essa vulnerabilidade porque, se pudermos encontrá-la usando o LLM, outros também poderão. Mas a única maneira de conseguirmos um patch é publicando a vulnerabilidade. Então isso cria uma situação de pânico,[onde eles dizem]: “Bem, essa vulnerabilidade existe há décadas. Você tem que corrigi-la imediatamente, e se não conseguir corrigi-la imediatamente, tire seu site do ar. Esta é uma vulnerabilidade muito séria.”

Kirsten Korosek: Acho que o importante é que muita gente nem percebe que seu site tem PHP – que, como você mencionou, é uma linguagem de programação de código aberto que existe há décadas.

Para quem não sabe, Pré-processador de hipertexto é o termo oficial e é de fato o elemento central por trás dos sistemas de gerenciamento de conteúdo usados ​​em 70% dos sites como WordPress, Drupal, etc. Então, para mim, essa é a escala. Isso também me fez pensar imediatamente em duas coisas: primeiro, isso é apenas o começo. Que outros softwares ruins com décadas de existência poderiam ser explorados?

A outra coisa é a 404 Media, que tem um acidente muito bomcomo mencionado, esta é uma falha de link. Porque muitas pessoas, empresas, governos, talvez aquele pequeno site comunitário, estão fechando esses (sites). Portanto, teremos muitos links quebrados e sites que possam ter algum histórico não estarão mais acessíveis, em vez de corrigi-los.

Sean: Anthony, acho que você fez uma boa observação. Vejo muita gente chateada com a divulgação aqui, e a OpenAI parece ter recebido algumas críticas em seu post.

Além disso, parece que várias pessoas anularam o embargo a esta versão, provocando uma corrida entre a comunidade hacker. Acho que o CEO da Cloudflare, Matthew Prince, liberar Sobre ver isso se transformar em milhões de tentativas de ataque do PHP2Shell.

O problema com essas vulnerabilidades, a maneira como as coisas normalmente funcionam na segurança cibernética, é que se você estiver testando o software de uma empresa, mesmo que seja um software básico que ajuda a operar vários computadores ou partes da Internet diferentes ou o que quer que seja, você vai até aquela empresa e divulga-o, e ele está naquela bolha. Mas quando falamos de algo tão profundo e fundamental como isto, não se pode sair por aí e contar a todos discretamente.

Quero dizer, talvez você pudesse, se a IA fosse avançada o suficiente, você poderia pedir a um bilhão de agentes que enviassem um e-mail para todos que controlam alguma parte do site. Agora estamos lamentando os dias dos webmasters facilmente identificáveis, talvez isso ajude de alguma forma a resolver o problema. Mas não existe uma maneira fácil de fazer isso. Acho que este será o início de muitas discussões e é claramente uma nova fronteira na segurança cibernética.

Kirsten: As postagens de Matthew Prince nas redes sociais são muito reveladoras e totalmente aterrorizantes para mim. Além disso, não sei se vocês viram isso, mas a Amazon também lançou uma postagem no blog. Esta é uma empresa muito bem capitalizada, então eles têm as ferramentas e a equipe para entender o que está acontecendo. Eles basicamente operam uma rede de honeypots ou uma isca onde eles realmente veem alguém tentando explorar a vulnerabilidade antes que ela seja anunciada publicamente.

Para mim, tudo se resume a isto: a Amazon tem as ferramentas, o capital e a experiência para resolver essas questões. Existem muitos sites, talvez até sites governamentais, que não recebem esse nível de atenção. Para mim, essa é realmente a parte mais assustadora.

Existem alguns funcionários de IA por aí que podem levar esse problema para o próximo nível, como um preparador do Juízo Final, porque você pode ver como os bancos podem ser explorados e (junto com) os problemas de dados e privacidade, parece que é muito maior do que podemos resolver agora. Então estou interessado em ver duas coisas. Primeiro, quão extremo o comportamento das pessoas se tornou – mas também me pergunto se algumas novas startups surgirão como resultado, ou se recorreremos a algumas ferramentas de código aberto (fornecidas por empresas como a Nvidia) para criar essas camadas de segurança.