Cloudflare CEO siger, at AI vil bryde internettet ugentligt i to år

Cloudflares administrerende direktør, Matthew Prince, fortalte Reuters, at man kan forvente et par år med ugentlige sikkerhedspanikker, dage efter at AI-assisteret forskning i PHP trak GOG offline.

Fejlene, der forårsagede forvrængningerne, sidder i selve PHP, ikke i nogen hjemmeside bygget ovenpå den, og PHP kører 69,3% af de hjemmesider, hvis serversidesprog er kendt. Prince siger, at hans firma allerede kender til mere alvorlige huller i anden kritisk software. Den del, der ændrede sig i denne uge, er, hvor hurtigt man kan forvandle et hul til et fungerende angreb.

Wiz Research offentliggjorde resultaterne den 21. oktober under navnet PHP2Shell, grupperet i to CVE'er med en alvorlighedsgrad på op til CVSS 9.2. Hver PHP-udgivelse i det seneste årti er påvirket af mindst én af dem, helt tilbage til version 5.4. Fejlene er hukommelsessikkerhedsproblemer i, hvordan motoren håndterer fatale fejl, og de lader en uautoriseret angriber læse proceshukommelse eller køre kode på serveren. Den pågældende hukommelse kan indeholde adgangskoder, godkendelsestokens, API-nøgler og certifikater, der tilhører andre anmodninger. Forskerholdet demonstrerede fjernudførelse af kode før godkendelse mod nuværende WordPress-, Drupal- og Joomla-containere og påpegede, at valget af software var vilkårligt, da en almindelig "hej verden"-side på en berørt PHP-version eksponeres på samme måde. PHP-teamet sendte patchen samme dag.

Den sårbare kode havde ligget der i over ti år uden at nogen havde forvandlet den til et brugbart exploit. At bygge en sådan kode betød at kæde adskillige fejl sammen og tilpasse sig, hvordan hvert mål layoutede hukommelsen, hvilket er den slags langsomt, specialiseret arbejde, der plejede at holde fejl teoretiske.

"Frontier-modeller var afgørende for at gøre denne proces praktisk, da de gjorde det muligt for os at udvikle og tilpasse fungerende exploits på tværs af flere applikationer på få timer."

— Wiz Research

Wiz navngav de modeller, de brugte, hvor Gemini 4 Argon blev krediteret for bidrag til opdagelse, udvikling af exploits og validering af patches, og Raluca Ada Popa fra Google DeepMind beskrev resultatet som frontlinje-AI, der lukker et hul, som forsvarere havde levet med i et årti. Den samme mekanisme fungerer for alle på den anden side. Princes argument til Reuters er, at loftet over opdagelse af sårbarheder plejede at være antallet af eksperter, der var villige til at bruge måneder på det, og det loft er væk.

"Jeg tror, vi får et par år, hvor det hver eneste uge vil føles, som om himlen falder ned."

— Matthew Prins

Cloudflare ligger foran 86,0% af de websteder, der bruger en reverse proxy, hvilket svarer til 27,9% af internettet, og den liste inkluderer Epicgames.com, Spotify, Shopify og X. Det er også seks måneder inde i sin egen omstrukturering omkring AI, efter at have skåret 1.100 medarbejdere via e-mail i maj, omkring 20% af virksomheden, hvor Princes notat beskriver en overgang til en æra med AI-agenter snarere end en omkostningsbesparelse. Intern AI-brug i virksomheden var steget med mere end 600% i løbet af de foregående tre måneder. Manden, der forudsagde to års AI-drevet nedbrud, driver en virksomhed, der satser sin medarbejderstab på den samme teknologi.

GOG annoncerede klokken 8.00 Pacific, at deres butik og GOG Galaxy ville være nede i et par timers vedligeholdelse, men nævnte ikke årsagen og vendte tilbage cirka fire timer senere med en besked om den ene ting, et strømafbrydelse ikke kan røre.

"Dit DRM-fri bibliotek er lige der, hvor du efterlod det."

— GOG

Final Fantasy 14-loginservere gik ned i samme vindue, og den finske regering trak websteder tilbage som en sikkerhedsforanstaltning. Ingen af disse tjenester behøvede at køre sårbar kode for at beslutningen gav mening; det er hurtigere at patche et sprog, der bruges af to tredjedele af internettet, når lyset er slukket.

Jeg er mere interesseret i versionsopdelingen end i patch-datoen. PHP 8 dækker 65,4% af PHP-websteder, hvilket efterlader 26,8% på version 7 og 7,7% stadig på version 5, og det er de værter, der mindst sandsynligt vil have nogen til at læse en afsløringsblog om onsdagen. En patch udgivet den 21. oktober beskytter kun de servere, der tager den, og resten forbliver åbne, så længe ingen rører dem.

Den AI-diskussion, som spilindustrien har haft hele måneden, handler om en anden maskine. Masahiro Sakurai sagde i denne uge, at generative værktøjer vil presse Steam ud over de 19.000 spil, de har taget i år, en stigning fra 275 i 2010, og at det meste af det, der ankommer, vil være urentable kopier af systemer, som andre spil allerede bruger. Hans bekymring er en butik, som ingen kan læse igennem. PHP-afsløringen er den samme funktion, der er rettet mod infrastruktur, hvor outputvolumen ikke er problemet, og en enkelt arbejdskæde er det.

Epic Games annoncerede deres AI MegaJam den 12. november med $7.500 til hver vinder i første kategori og fortsættelsesstipendier på op til $50.000, og slettede derefter stille og roligt FAQ-linjen, der fortalte deltagerne, at de overhovedet skulle bruge AI. Epicgames.com er på listen over sider, der ligger bag proxylaget, som Prince kører, hvilket er den del af stacken, der absorberede denne uge, snarere end den del, der kører jammen.

Xbox' senior forretningsstrategichef, Brandon Stirrup, fremsatte den stærkeste version af maker-påstanden den 18. oktober, da han hævdede, at alle kan bygge et spil med AI på baggrund af en to-dages prototype med omkring tre timers arbejde i den, og derefter slettede sin konto inden for en dag. Jeg finder maker-argumentet mindre interessant denne uge end det afgørende, fordi en "jam prize" og en slettet tråd er meninger, og en CVSS 9.2 i sproget under det meste af internettet er en demonstration.

Prince forventer, at cyklussen ender et nyttigt sted. Hans holdning er, at de fejl, der opdages, nu bliver rettet, og at softwaren kommer ud af de næste to år mere sikker, end den blev brugt i. Det er en langsigtet påstand knyttet til en kortsigtet instruktion, som er at holde browsere og klienter opdaterede og behandle de næste par måneders nedbrudsvarsler som rutine. Jeg vil hellere have kedelige patchcyklusser end en renere kodebase i 2028, og den prognose, der tilbydes, er den anden.

Cloudflare har ikke oplyst, hvilke andre kritiske softwareprogrammer de holder øje med. Wiz har sagt, at de PHP-varianter, de rapporterede, ikke er de eneste i kodebasen, selvom oktober-patchen lukker klassen ved roden.