A maior ameaça de segurança cibernética era conhecida há 22 anos, mas a inteligência artificial a transformou em uma séria crise em apenas dois dias.
Em julho de 2004, o pesquisador de segurança Stefan Esser alertou sobre uma falha crítica no PHP — a linguagem de programação que sustenta 70% dos sites mundiais. Este defeito poderia permitir que um invasor lesse senhas, roubasse bancos de dados ou assumisse totalmente os sites. No entanto, o alerta de Esser foi ignorado por muito tempo.
Em 2020, outro pesquisador descobriu um problema relacionado, e os líderes do PHP lançaram uma correção parcial. Uma vulnerabilidade semelhante no PHP foi identificada em 2024, mas permaneceu sem correção. Surge a questão: por que uma das ameaças mais graves ao fundamento da internet permaneceu sem solução por duas décadas?
O motivo era a dificuldade para um ser humano descobrir como explorar essa vulnerabilidade: exigia codificação monótona e demorada, tornando a exploração impraticável.
No entanto, a IA conseguiu encontrar um método de exploração em apenas dois dias. Na quarta-feira, a OpenAI anunciou publicamente a divulgação do exploit juntamente com uma atualização de segurança para corrigir o problema.
Embora os 'bons moços' tenham descoberto a vulnerabilidade primeiro usando IA, isso preocupou profundamente os pesquisadores de cibersegurança, pois uma descoberta semelhante pode vir daqueles que pretendem usar essa oportunidade para fins maliciosos. A inteligência artificial não distingue quem aperta o gatilho.
A infraestrutura digital moderna é frequentemente comparada a uma torre de Jenga alta, sustentada por um pequeno bloco vertical que é mantido por alguém aleatório no Nebraska desde 2003. Em 30 de julho, pesquisadores da empresa de segurança de IA Calif, em colaboração com a iniciativa OpenAI Patch the Planet, direcionaram um grande modelo de linguagem para estudar o bloco PHP, sem esperar encontrar nada crítico.
Mas em 1º de agosto, o modelo descobriu um método de ataque à vulnerabilidade do PHP. Em poucos dias, outros foram encontrados, e mais tarde a Wiz, sediada nos EUA e apoiada pelo Google, também descobriu novos exploits para vulnerabilidades do PHP. O patch foi lançado na quarta-feira, e as empresas divulgaram suas descobertas. A Wiz classificou isso como uma das vulnerabilidades mais sérias na história do software.
A comunidade de segurança discutiu ativamente isso nas redes sociais. O professor de engenharia da computação da Carnegie Mellon University, Weiss Sekar, declarou: 'A indústria de segurança alertou há muito tempo sobre um apocalipse de segurança iminente, porque a IA pode fazer essas coisas muito rápido — melhor do que os humanos. Isso pode ser o começo de muitas coisas. É um sinal para despertar.'
Sekar observa que existem muitas outras vulnerabilidades semelhantes ao PHP que ainda precisam ser descobertas e exploradas. A ampla disponibilidade de ferramentas de IA reduziu significativamente a barreira de entrada para hackers que desejam tirar proveito de vulnerabilidades potenciais. Esse fato alarmou tanto a Anthropic que a empresa suspendeu o lançamento de seu modelo Mythos em junho, pois ele era muito eficaz na identificação de vulnerabilidades de segurança e vetores de ataque, levando o governo dos EUA a classificá-lo como uma ameaça à segurança nacional.
No entanto, o pesquisador da Calif, Ryan Austin, observou em seu blog que a empresa não usou modelos de IA especiais que não fossem de acesso público. Nick Rogers, CEO da Fieldwork AI, afirmou que a democratização das ferramentas de IA mostrou que a 'segurança por exaustão' não é mais um meio viável de defesa contra invasores.
Durante 22 anos, o PHP funcionou como um banco sem seguranças. Qualquer um poderia ir ao cofre e pegar o dinheiro se tivesse tempo suficiente para verificar cada código. Era um trabalho tão pesado que ninguém queria gastar tempo nele. Mas a IA não se cansa e pode invadir cofres muito mais rápido que os humanos.
Rogers enfatizou: 'Provar teoricamente (a vulnerabilidade) e mostrar que ela pode ser explorada é um trabalho bastante tedioso e mecânico. A IA pode continuar trabalhando até encontrar uma solução. Você nem precisa tentar, pode tomar um café enquanto ele faz isso.'
Essencialmente, o PHP é o motor que alimenta grande parte da internet. Antes de ser corrigido na quarta-feira, ele continha um defeito fatal. A vulnerabilidade permitia que um invasor interferisse em como o PHP processava solicitações para executar sites. Se o servidor falhasse por falta de memória, ele deixava dados desatualizados que poderiam ser usados para vazar informações ou executar código malicioso.
O exploit pode ser imaginado como uma situação em uma cozinha de restaurante movimentada. Os clientes podem sobrecarregar o chef com muitos pedidos complexos, fazendo com que ele abandone o trabalho no meio do jantar, deixando louça suja, ingredientes crus e receitas na mesa. Então, quando um novo chef é contratado, ele serve comida contaminada em louça suja e até envia algumas receitas aos clientes junto com o pedido.
Embora a vulnerabilidade tenha sido considerada teoricamente explorável por muito tempo, descobrir como implementá-la provou ser extremamente difícil. Os hackers precisavam fazer o servidor falhar por falta de memória em um momento específico para contornar as restrições de segurança do PHP. Quando os pesquisadores direcionaram a IA para esse problema, ela rapidamente encontrou várias maneiras de contornar essa limitação. Uma solução usa uma inconsistência na forma como o PHP mede arquivos compactados e decodificados, permitindo efetivamente que arquivos compactados passem pelos portões para serem descompactados sozinhos e assumirem o controle internamente. Outro ataque afeta o PHP usando estruturas de arquivos profundamente aninhadas que sobrecarregavam a estrutura de diretórios do PHP, causando falha de memória.