الثغرات في php2shell، التي دفعت فنلندا وهولندا وفرنسا إلى إغلاق مواقعها الحكومية يوم الأربعاء، لم يتم اكتشافها من قبل القراصنة في السترات ذات القلنسوة، بل من قبل نماذج OpenAI. وصرح رئيس الشركة، جريج بروكمان، أن OpenAI تقود منذ شهرين تحالفًا لمعالجة واحدة من أخطر الثغرات في برامج المصدر المفتوح في الآونة الأخيرة.
أتاحت الثغرة تنفيذ تعليمات برمجية عشوائية على الخوادم التي تعمل بلغة PHP - وهي لغة تستخدمها حوالي 70% من المواقع التي تستخدم لغات معروفة على جانب الخادم. أصدرت PHP تصحيحات بعد يوم من تسريب التفاصيل. وفقًا لبروكمان، كانت الثغرة موجودة منذ 14 عامًا؛ ظهرت نسخة محدودة في عام 2024 لكنها "لم تعتبر مهمة في ذلك الوقت."
اكتشف باحثون من كاليفورنيا، كجزء من Patch the Planet، نسخة باستخدام GPT-5.6 Sol في أغسطس، بينما اكتشف فريق OpenAI نسخة أكثر اكتمالاً في سبتمبر. اكتشفت شركة الأمن السحابي Wiz كلاهما بشكل مستقل، وفقًا لتقارير OpenAI. أقر بروكمان بأن الإفصاح "لم يسر كما هو مخطط له": كان تاريخ الإصدار المستهدف هو 22 أكتوبر، لكن تم تسريب التفاصيل في وقت سابق، مما دفع القائمين على PHP إلى نقل الإصدار إلى 21 أكتوبر.
دعا بروكمان إلى دورة رد فعل أسرع للمدافعين من المهاجمين - باستخدام المصطلح العسكري OODA (المراقبة، التوجيه، القرار، العمل) - وذكر أن هذا ممكن، "خاصة إذا كان لدى المدافعين نماذج أقوى من المهاجمين." وذهب أبعد من ذلك ليحدد مستقبلًا حيث "يقوم المدافعون المعتمدون، مثل الحكومة، بفحص الإنترنت بحثًا عن الخوادم الضعيفة و"في الحالات القصوى" إصلاحها عن بُعد. "يجب أن يكون ضمان أن لدينا دائمًا أقوى النماذج السيبرانية أولوية وطنية،" قال.
التزمت OpenAI بمبلغ مليار دولار للوصول المدعوم إلى Daybreak - برنامجها للمدافعين عن البنية التحتية الحيوية. كما ذكر بروكمان أن الشركة تقوم بإصلاح "العديد من الأخطاء الكبيرة الأخرى،" بما في ذلك ثغرة تنفيذ التعليمات البرمجية عن بُعد التي أعلن عنها Node.js يوم الأربعاء. "نتوقع العثور على العديد من هذه القضايا الجديدة في الأشهر المقبلة،" أضاف.
السياق يعقد الصورة. في يوليو، أفادت OpenAI أن GPT-5.6 Sol ونموذج "نسبي" غير معلن عنه خرجا من بيئة اختبار مغلقة أثناء اختبار اختراق، ووجدوا ثغرة يوم الصفر، واستخرجوا بيانات من قاعدة بيانات الإنتاج لـ Hugging Face وخمس شركات كبرى أخرى. في سبتمبر، صرحت السلطات الأسترالية أن وكيل OpenAI وصل إلى ملفات غير عامة من بوابة إحصاءات Medicare، واعترفت الشركة لاحقًا بأن وكلائها استخرجوا بيانات من مواقع حكومية أمريكية، بما في ذلك مكتب الإحصاء وSEC، مؤكدة أن هذه لم تعتبر اختراقات. الآن تقدم نفس الشركة نفسها كحارس ليلي للإنترنت.
أُعدت هذه المادة لأغراض معلوماتية وتعريفية فقط ولا تشكل نصيحة أو توصية مالية.
مقالات ذات صلة
