इंटरनेट सुरक्षा का सबसे बड़ा खतरा 22 वर्षों से ज्ञात था, लेकिन कृत्रिम बुद्धिमत्ता ने इसे केवल दो दिनों में एक गंभीर संकट में बदल दिया।
जुलाई 2004 में, सुरक्षा शोधकर्ता स्टीफन एसर ने PHP में एक महत्वपूर्ण कमी के बारे में चेतावनी दी - प्रोग्रामिंग भाषा जो दुनिया की 70% वेबसाइटों का आधार है। यह दोष हमलावर को पासवर्ड पढ़ने, डेटाबेस चुराने या साइटों पर पूरी तरह से नियंत्रण करने की अनुमति दे सकता था। फिर भी, एसर की चेतावनी को लंबे समय तक नजरअंदाज किया गया।
2020 में एक अन्य शोधकर्ता ने एक संबंधित समस्या की खोज की, और PHP के नेताओं ने आंशिक समाधान जारी किया। इस तरह की PHP भेद्यता की पहचान 2024 में की गई थी, लेकिन इसे ठीक नहीं किया गया। सवाल उठता है कि इंटरनेट की नींव के सबसे गंभीर खतरों में से एक दो दशकों तक अनसुलझा क्यों रहा?
इसका कारण इस भेद्यता का उपयोग करने के तरीके को खोजने में मनुष्य के लिए लगने वाला श्रमसाध्य प्रयास था: इसके लिए एकाग्र, समय लेने वाले कोडिंग की आवश्यकता थी, जिससे भेद्यता का शोषण अव्यावहारिक हो जाता था।
हालांकि, एआई ने केवल दो दिनों में शोषण का तरीका ढूंढ लिया। बुधवार को OpenAI द्वारा एक एक्सप्लॉइट के सार्वजनिक खुलासे के साथ समस्या को दूर करने के लिए सुरक्षा अपडेट की घोषणा की गई।
भले ही 'अच्छे लोगों' ने एआई की मदद से पहली बार भेद्यता का पता लगाया, इसने साइबर सुरक्षा शोधकर्ताओं को गहराई से चिंतित कर दिया, क्योंकि अगली ऐसी खोज उन लोगों से आ सकती है जिनका इरादा इस अवसर का दुरुपयोग करना है। कृत्रिम बुद्धिमत्ता यह भेद नहीं करती कि ट्रिगर कौन दबाता है।
आधुनिक डिजिटल बुनियादी ढांचे की अक्सर जेंगा के ऊंचे टॉवर से तुलना की जाती है, जिसे नेब्रास्का में किसी यादृच्छिक व्यक्ति द्वारा 2003 से बनाए रखा जा रहा एक पतले ऊर्ध्वाधर ब्लॉक द्वारा सहारा दिया जाता है। 30 जुलाई को, एआई सुरक्षा कंपनी Calif के शोधकर्ताओं ने OpenAI के 'Patch the Planet' पहल के साथ मिलकर, एक बड़ी भाषा मॉडल को PHP ब्लॉक का अध्ययन करने के लिए भेजा, बिना यह उम्मीद किए कि उन्हें कुछ महत्वपूर्ण मिलेगा।
लेकिन 1 अगस्त को मॉडल ने PHP भेद्यता पर हमले की विधि का पता लगाया। कुछ दिनों बाद अन्य पाए गए, और बाद में अमेरिका स्थित Wiz, जो गूगल द्वारा समर्थित है, ने PHP भेद्यताओं के लिए नए एक्सप्लॉइट्स भी खोजे। बुधवार को पैच जारी किया गया, और कंपनियों ने अपनी खोजों का खुलासा किया। Wiz ने इसे सॉफ्टवेयर के इतिहास में सबसे गंभीर कमजोरियों में से एक बताया।
सुरक्षा समुदाय ने सोशल मीडिया पर इस पर सक्रिय रूप से चर्चा की। कार्नेगी मेलन विश्वविद्यालय के कंप्यूटर इंजीनियरिंग प्रोफेसर वयास सेकार ने कहा: 'सुरक्षा उद्योग लंबे समय से सुरक्षा सर्वनाश की भविष्यवाणी कर रहा था, क्योंकि एआई ऐसी चीजें बहुत तेज़ी से कर सकता है - मनुष्यों से बेहतर। यह कई चीजों की शुरुआत हो सकती है। यह जागने का संकेत है।'
सेकार बताते हैं कि PHP जैसी कई अन्य कमजोरियाँ हैं जिन्हें अभी भी खोजा और इस्तेमाल किया जाना बाकी है। एआई उपकरणों की व्यापक उपलब्धता ने संभावित कमजोरियों का फायदा उठाने के इच्छुक हैकर्स के लिए प्रवेश की बाधा को काफी कम कर दिया है। इस तथ्य ने Anthropic को इतना चिंतित किया कि कंपनी ने जून में अपने मॉडल Mythos की तैनाती रोक दी, क्योंकि यह सुरक्षा कमजोरियों और हमले के वैक्टरों की पहचान करने में बहुत प्रभावी था, जिसके कारण अमेरिकी सरकार ने इसे राष्ट्रीय सुरक्षा खतरे के रूप में वर्गीकृत किया।
फिर भी, Calif के शोधकर्ता रयान ऑस्टिन ने अपने ब्लॉग में उल्लेख किया कि कंपनी ने किसी भी विशेष एआई मॉडल का उपयोग नहीं किया जो सार्वजनिक रूप से उपलब्ध नहीं थे। फील्डवर्क एआई के सीईओ निक रॉजर्स ने कहा कि एआई उपकरणों का लोकतंत्रीकरण ने दिखाया है कि 'थकान द्वारा सुरक्षा' अब हमलावरों से बचाव का व्यवहार्य साधन नहीं है।
22 वर्षों तक PHP बिना गार्ड वाले बैंक की तरह काम करता रहा। कोई भी भंडार के पास जा सकता था और पैसा ले सकता था, बशर्ते उसके पास हर कोड की जांच करने के लिए पर्याप्त समय हो। यह इतना कठिन काम था कि किसी को इसमें समय बर्बाद करने की आवश्यकता नहीं थी। लेकिन एआई थकता नहीं है और मनुष्यों की तुलना में तिजोरियों को बहुत तेज़ी से हैक कर सकता है।
रोजर्स ने जोर देकर कहा: 'सैद्धांतिक (भेद्यता) को साबित करना और यह दिखाना कि इसका शोषण किया जा सकता है, एक काफी थकाऊ और यांत्रिक काम है। एआई तब तक काम करना जारी रख सकता है जब तक उसे समाधान नहीं मिल जाता। आपको यहां तक कि कोशिश करने की ज़रूरत नहीं है, आप कॉफी पी सकते हैं जबकि यह ऐसा कर रहा है।'
मूल रूप से, PHP इंटरनेट के अधिकांश हिस्से को शक्ति देने वाला इंजन है। बुधवार को ठीक होने से पहले, इसमें एक घातक दोष था। भेद्यता हमलावर को इस बात में हस्तक्षेप करने की अनुमति देती थी कि PHP वेब साइटों के लिए अनुरोधों को कैसे संसाधित करता है। यदि सर्वर मेमोरी की कमी के कारण विफल हो जाता था, तो वह पुरानी जानकारी छोड़ देता था जिसका उपयोग जानकारी लीक करने या दुर्भावनापूर्ण कोड चलाने के लिए किया जा सकता था।
एक्सप्लॉइट को एक व्यस्त रेस्तरां रसोई में स्थिति के रूप में प्रस्तुत किया जा सकता है। ग्राहक शेफ पर बहुत अधिक जटिल आदेशों के साथ अधिभारित कर सकते हैं, जिससे वह रात के खाने के बीच में काम छोड़ देता है, गंदे बर्तन, कच्चे माल और व्यंजनों को मेज पर छोड़ देता है। फिर, जब एक नया शेफ नियुक्त किया जाता है, तो वह गंदे बर्तनों पर संक्रमित भोजन परोसता है और यहां तक कि ऑर्डर के साथ ग्राहकों को कुछ व्यंजनों भी भेजता है।
हालांकि भेद्यता को लंबे समय तक सैद्धांतिक रूप से शोषण योग्य माना जाता था, इसके कार्यान्वयन के तरीके का पता लगाना बेहद जटिल निकला। हैकरों को PHP की सुरक्षा सीमाओं को दरकिनार करने के लिए एक निश्चित समय पर सर्वर को मेमोरी की कमी के कारण विफल करना पड़ा। जब शोधकर्ताओं ने एआई को इस समस्या पर निर्देशित किया, तो इसने जल्दी से इस सीमा को दरकिनार करने के कई तरीके ढूंढ लिए। एक समाधान संपीड़ित और डीकोडित फ़ाइलों को मापने के तरीके में विसंगति का उपयोग करता है, जिससे संपीड़ित फ़ाइलें गेट्स से गुजर सकती हैं ताकि फ़ाइल स्वयं अनपैक हो सके और अंदर से नियंत्रण ले सके। दूसरा हमला PHP पर गहराई से नेस्टेड फ़ाइल संरचनाओं का उपयोग करके हमला करता है, जो PHP निर्देशिका संरचना को ओवरलोड करता है, जिससे मेमोरी क्रैश होता है।