Eng keng miqyosdagi internet xavfsizligi tahdidi 22 yil davomida maʼlum boʻlgan, ammo sunʼiy intellekt uni atigi ikki kun ichida jiddiy inqirozga aylantirdi.
2004-yil iyul oyida xavfsizlik tadqiqotchisi Stefan Esser PHP — dunyo veb-saytlarining 70 foiziga asos boʻladigan dasturlash tili — dagi halokatli kamchilik haqida ogohlantirgan edi. Bu nuqta hujumkorga parollarni oʻqishga, maʼlumotlar bazalarini oʻgʻirlashga yoki saytlarni toʻliq egallashga imkon berishi mumkin edi. Biroq, Esserning ogohlantirishi uzoq vaqt davomida eʼtiborsiz qoldirildi.
2020-yilda boshqa bir tadqiqotchi bogʻliq muammoni aniqladi va PHP rahbariyati qisman tuzatishni chiqardi. PHPʼdagi bunday zaiflik 2024-yilda aniqlangan, ammo tuzatilmagan boʻlib qoldi. Bu, internet poydevori uchun eng jiddiy tahdidlardan biri nega ikki oʻn yillik davr mobaynida hal boʻlmaganligi savol tugʻdiradi?
Sababi bu zaiflikdan foydalanish usulini odam topishi juda koʻp mehnat talab qilishi edi: bunga monoton, vaqtinchalik kodlash talab qilinardi, bu esa zaiflikdan foydalanishni amaliy jihatdan noaniq qilardi.
Biroq, AI faqat ikki kun ichida foydalanish usulini topdi. Chorshanba kuni OpenAI kompaniyasi tomonidan muammoni bartaraf etish uchun xavfsizlik yangilanishi bilan birga eksploitatsiya ochiqligini eʼlon qilindi.
«Yaxshi odamlar» AI yordamida zaiflikni birinchi boʻlib aniqlaganiga qaramay, bu kiberxavfsizlik tadqiqotchilarini chuqur xavotirga solmoqda, chunki keyingi shunga oʻxshash topilma shu imkoniyatdan yaramas maqsadlarda foydalanishni niyat qilganlar tomonidan kelishi mumkin. Sunʼiy intellekt kim tugmani bosayotganini farqlamaydi.
Zamonaviy raqamli infratuzilma koʻpincha Nebraskaʼdagi tasodifiy shaxs tomonidan 2003-yildan beri xizmat koʻrsatilayotgan nozik vertikal blok bilan qoʻllab-quvvatlanadigan yuqori Jenga minorasi bilan taqqoslanadi. 30-iyulda AI xavfsizligi kompaniyasi Califdagi tadqiqotchilar OpenAI Patch the Planet tashabbusi bilan birgalikda katta til modelini PHP blokini oʻrganish uchun yoʻnaltirishdi, hech qanday halokatli narsa topmasliklarini kutib turishardi.
Ammo 1-avgustda model PHP zaifligiga hujum qilish usulini aniqladi. Bir necha kun oʻtgach, boshqalar topildi va keyinchalik AQShda joylashgan va Google tomonidan qoʻllab-quvvatlanadigan Wiz kompaniyasi ham PHP zaifliklari uchun yangi eksploitlarni aniqladi. Patch chorshanba kuni chiqarildi va kompaniyalar oʻz kashfiyotlarini eʼlon qildi. Wiz buni dasturiy taʼminot tarixidagi eng jiddiy zaifliklardan biri deb nomladi.
Xavfsizlik hamjamiyati bu borada ijtimoiy tarmoqlarda faol muhokama olib bordi. Carnegie Mellon Universiteti kompyuter muhandisligi professori Weiss Sekar shunday dedi: «Xavfsizlik sanoati uzoq vaqtdan beri kelajakdagi xavfsizlik apokalipsisini ogohlantirib kelmoqda, chunki AI bunday narsalarni odamlardan yaxshiroq, juda tez qila oladi. Bu koʻplarining boshlanishi boʻlishi mumkin. Bu uygʻonish signali».
Sekar PHP kabi yana koʻp zaifliklar mavjud ekanligini va ular hali aniqlanishi va ishlatilishi kerakligini taʼkidlaydi. AI vositalarining keng mavjudligi hujumkorlardan potensial zaifliklardan foydalanishni istaydiganlar uchun kirish toʻsiqini sezilarli darajada pasaytirdi. Ushbu fakt Anthropicni shunchalik xavotirga soldiki, kompaniya iyun oyida Mythos modelini joylashtirishni toʻxtatdi, chunki u xavfsizlik zaifliklarini va hujum vektorlarini aniqlashda juda samarali edi, bu esa AQSh hukumati uni milliy xavfsizlikka tahdid sifatida tasniflashiga olib keldi.
Biroq, Califdagi tadqiqotchi Ryan Austin oʻz blogida kompaniya keng jamoatga mavjud boʻlmagan maxsus AI modellaridan foydalanmaganini taʼkidladi. Fieldwork AI bosh ijrochi direktori Nick Rogers AI vositalarining demokratiklashtirilishi «charchash orqali xavfsizlik»ning hujumkorlarga qarshi yagona himoya vositasi boʻlmasligini koʻrsatganini aytdi.
22 yil davomida PHP xavfsizlik xodimlarisiz bank kabi ishladi. Har kim yetarli vaqt sarflab, har bir kodni tekshirsa, omborga yaqinlashib pul olishi mumkin edi. Bu shunchalik ogʻir ish edi,ki hech kim unga vaqt sarflashga qiynalmas edi. Ammo AI charchamaydi va xazinalarni odamlardan ancha tez buzib kirishi mumkin.
Rogers taʼkidladi: «Nazariy (zaiflik) ekanligini isbotlash va uni ishlatish mumkinligini koʻrsatish juda charchatuvchi va mexanik ish. AI yechimni topgunicha ishlayveradi. Siz hatto urinishingiz shart emas, u buni qilayotganda kofe ichishingiz mumkin».
Asosan, PHP internetning katta qismini quvvatlaydigan dvigatel hisoblanadi. Chorshanbagacha uda fojiali nuqta mavjud edi. Zaiflik hujumkorga PHP veb-saytlarni qayta ishlash usuliga aralashish imkonini berardi. Agar server xotira yetishmovchiligi tufayli ishdan chiqsalar, ular eskirgan maʼlumotlarni qoldirardi, ular maʼlumot sizib chiqishi yoki zararli kod bajarilishi uchun ishlatilishi mumkin edi.
Eksploitni yuklangan restoran oshxonasi holati bilan tasavvur qilish mumkin. Mijozlar chefni juda koʻp murakkab buyurtmalar bilan haddan tashqari yuklab, u ovqat paytida ishni yarimda qoldiradi, iflos idishlar, xom masalliqlar va retseptlar stol ustida qoladi. Keyin, yangi chef ishga olinganda, u iflos idishlar ustida zararlangan ovqatni taqdim etadi va hatto baʼzi retseptlarni buyurtma bilan mijozlarga yuboradi.
Zaiflik uzoq vaqt nazariy jihatdan ishlatilishi mumkin deb hisoblangan boʻlsa-da, uni amalga oshirish usulini aniqlash juda murakkab ekanligi maʼlum boʻldi. Hakerlar PHP xavfsizlik cheklovlarini chetlab oʻtish uchun serverni maʼlum bir vaqtda xotira yetishmovchiligi tufayli ishdan chiqarishga majburlashlari kerak edi. Tadqiqotchilar AI ni bu muammo ustiga yoʻnaltirganlarida, u tezda bu cheklovni chetlab oʻtishning bir nechta usullarini topdi. Bir yechim PHP si ixcham va dekodlangan fayllarni oʻlchashdagi nomuvofiqlikdan foydalanadi, bu esa ixcham fayllarning devorlardan oʻtib, faylning oʻzi ochilib, ichkaridan nazoratni olishiga imkon beradi. Ikkinchi hujum PHP ga katalog tuzilmasini yuklab, xotira buzilishiga sabab boʻlgan chuqur ichki fayl tuzilmalari yordamida taʼsir qiladi.