AIがPHPの古い脆弱性を実用的な攻撃手法に変えた

WIREDが引用したCloudflareの分析によると、新たに公表されたPHPの脆弱性を悪用しようとする試みが、公表から数時間以内に数百万件に達した。PHP2Shellと総称されるこれらの脆弱性を受け、セキュリティチームやウェブ管理者は急いでパッチを適用した。

現時点で大規模な侵害は報告されていない。PHP Foundationは、この脆弱性が悪用された成功例を確認していないとしており、公に出回っているエクスプロイトの多くは有効ではないようだ。WIREDは、影響を受けるPHPのバージョンやパッチの適用方法を明らかにしていない。

AIが研究者の突破口に

セキュリティ企業Califの研究者らは8月初旬に脆弱性を最初に特定し、エクスプロイトを作成した。OpenAIの「Patch the Planet」プログラムを通じて最先端のAIツールを一部活用したほか、PHPに関する人間の専門知識も生かした。その後、OpenAIとGoogle傘下のWizの研究者らも、AIツールを使って独自にPHP2Shellの脆弱性を発見した。

根底にある問題の一部は2024年に特定されていたものの、悪用は難しいと考えられていた。Wizの研究者Sagi Tzadik氏によると、PHPチームはこの脆弱性を何年も前から把握していたが、人間の攻撃者には利用できなかったため、対処していなかった。AIによって、これまで実用的な攻撃につながらなかった欠陥が、実際に悪用可能になった。

高まる圧力、ただし自動的にハッキングされるわけではない

今回の事例は、AIが脆弱性の分析や悪用を速め、すでに大量の脆弱性への対応に追われているセキュリティチームの負担をさらに増やし得ることを示している。WIREDによると、Microsoftのセキュリティ更新にはその月、過去最多となる1,453件の脆弱性が含まれていた。また、Bank of AmericaはAnthropicのMythosが見つけた欠陥に対処するため、コンサルタント1,000人を雇った。

WIREDの取材に応じた研究者らは、AIがあらゆる古いバグを発見すると決めつけるべきではないと警告する。Califの研究者Ryan Austin氏は、簡単なプロンプトだけですべてのバグを見つけられるモデルはないと述べた。他の専門家も、PHPの脆弱性の発見には熟練したチームが必要だったと強調している。また、PHPはインターネット上で広く利用されているため、今回の事例は特殊な標的を狙ったものであり、古いソフトウェアの欠陥がすべて間もなく悪用可能になる証拠ではないとの指摘もあった。