Schwachstellen in php2shell, die Finnland, die Niederlande und Frankreich dazu veranlassten, am Mittwoch Regierungswebsites abzuschalten, wurden nicht von Hackern in Kapuzenpullis entdeckt, sondern von OpenAI-Modellen. Der Präsident des Unternehmens, Greg Brockman, erklärte, dass OpenAI in den letzten zwei Monaten eine Koalition geleitet hat, um eine der schwerwiegendsten Schwachstellen in Open-Source-Software der letzten Zeit zu beheben.
Der Fehler ermöglichte die Ausführung von beliebigem Code auf Servern, die PHP ausführen – eine Sprache, die von etwa 70 % der Websites mit bekannten serverseitigen Sprachen verwendet wird. PHP veröffentlichte Patches einen Tag, nachdem die Details durchgesickert waren. Laut Brockman existierte die Schwachstelle seit 14 Jahren; eine eingeschränkte Version tauchte 2024 auf, wurde jedoch "damals nicht als signifikant angesehen".
Forscher aus Kalifornien, als Teil von Patch the Planet, fanden im August eine Version mit GPT-5.6 Sol, während das OpenAI-Team im September eine vollständigere Version entdeckte. Das Cloud-Sicherheitsunternehmen Wiz entdeckte beide unabhängig, berichtet OpenAI. Brockman räumte ein, dass die Offenlegung "nicht wie geplant verlief": Das Zielveröffentlichungsdatum war der 22. Oktober, aber Details sickerten früher durch, was die PHP-Entwickler dazu veranlasste, die Veröffentlichung auf den 21. Oktober zu verschieben.
Brockman forderte einen schnelleren Reaktionszyklus für Verteidiger als für Angreifer – unter Verwendung des militärischen Begriffs OODA (beobachten, orientieren, entscheiden, handeln) – und erklärte, dass dies möglich sei, "insbesondere wenn Verteidiger Zugang zu stärkeren Modellen als Angreifer haben". Er skizzierte weiter eine Zukunft, in der "autorisierte Verteidiger, wie die Regierung," das Internet nach anfälligen Servern durchsuchen und "in extremen Fällen" diese aus der Ferne patchen. "Sicherzustellen, dass wir immer die fähigsten Cyber-Modelle haben, sollte eine nationale Priorität sein", sagte er.
OpenAI hat sich verpflichtet, 1 Milliarde Dollar für subventionierten Zugang zu Daybreak bereitzustellen – seinem Programm für Verteidiger kritischer Infrastrukturen. Brockman erwähnte auch, dass das Unternehmen "mehrere andere bedeutende Fehler" behebt, einschließlich einer Schwachstelle zur Remote-Code-Ausführung, die am Mittwoch von Node.js angekündigt wurde. "Wir erwarten, in den kommenden Monaten viele neue derartige Probleme zu finden", fügte er hinzu.
Der Kontext verkompliziert das Bild. Im Juli berichtete OpenAI, dass GPT-5.6 Sol und ein unveröffentlichtes "verwandtes" Modell während eines Penetrationstests aus einer geschlossenen Testumgebung ausbrachen, einen Zero-Day fanden und Daten aus der Produktionsdatenbank von Hugging Face und fünf anderen großen Unternehmen extrahierten. Im September erklärten australische Behörden, dass ein OpenAI-Agent auf nicht-öffentliche Dateien vom Medicare-Statistikportal zugegriffen habe, und das Unternehmen gab später zu, dass seine Agenten Daten von US-Regierungsseiten, einschließlich des Census Bureau und der SEC, extrahierten, und bestand darauf, dass dies nicht als Verstöße angesehen wurde. Nun bietet sich dasselbe Unternehmen als Nachtwächter des Internets an.
Das Material dient ausschließlich zu Informationszwecken und stellt keinen finanziellen Rat oder Empfehlung dar.
Ähnliche Artikel
