چه کسی باگ PHP را کشف کرد که دولت‌ها را وادار کرد وب‌سایت‌هایشان را از دسترس خارج کنند؟ معلوم است؛ چت‌جی‌پی‌تی!
دو آسیب‌پذیری در PHP که روز چهارشنبه فنلاند، هلند و فرانسه را واداشتند وب‌سایت‌های دولتی خود را از دسترس خارج کنند، حاصل کار یک هکر ناشناس با هودی مشکی نبودند؛ هوش مصنوعی آن‌ها را کشف کرد و مشخصاً پای هوش مصنوعی OpenAI در میان بود.
گرگ بروکمن، رئیس OpenAI، در بیانیه‌ای گفت: «در دو ماه گذشته، رهبری ائتلافی را برای مهار یکی از جدی‌ترین باگ‌های نرم‌افزارهای متن‌باز در سال‌های اخیر، موسوم به PHP2Shell، بر عهده داشته‌ایم. این آسیب‌پذیری با کمک مدل‌های ما و در چارچوب ابتکار «Patch the Planet» کشف و برطرف شد.»
این آسیب‌پذیری‌ها به هر فردی امکان می‌دادند کد دلخواه خود را روی سرورهای مجهز به PHP اجرا کند؛ زبانی که در میان وب‌سایت‌هایی که زبان سمت سرور آن‌ها مشخص است، زیربنای حدود ۷۰ درصد از آن‌ها به شمار می‌رود. PHP یک روز پس از افشای جزئیات آسیب‌پذیری‌ها در اینترنت، اصلاحیه‌های امنیتی را منتشر کرد.
به گفته بروکمن، این باگ ۱۴ سال در PHP وجود داشته است. نسخه‌ای محدودتر از آن نیز در سال ۲۰۲۴ شناسایی شده بود، اما «در آن زمان مسئله مهمی تلقی نمی‌شد». پژوهشگران شرکت امنیتی Calif که در چارچوب ابتکار Patch the Planet فعالیت می‌کردند، در ماه اوت با استفاده از مدل GPT-5.6 Sol متعلق به OpenAI نسخه‌ای از این آسیب‌پذیری را کشف کردند. تیم خود OpenAI در ماه سپتامبر نسخه کامل‌تری از آن را شناسایی کرد. بر اساس گزارش افشای OpenAI، شرکت امنیت ابری Wiz نیز هر دو آسیب‌پذیری را به‌طور مستقل کشف کرده بود.
بروکمن توانست هراس جهانی ناشی از این ماجرا را به فرصتی تبلیغاتی برای شرکت تبدیل کند و توانایی‌های GPT را برجسته سازد؛ هرچند پذیرفت که مراحل پایانی افشای آسیب‌پذیری‌ها طبق برنامه پیش نرفت. او گفت: «اگرچه بخش پایانی فرایند افشا آن‌طور که برنامه‌ریزی کرده بودیم پیش نرفت ــ قرار بود جزئیات در ۲۲ اکتبر منتشر شوند، اما اطلاعات زودتر به بیرون درز کرد و در نتیجه، توسعه‌دهندگان PHP انتشار را به ۲۱ اکتبر جلو انداختند ــ از اینکه ائتلاف توانست دو ماه کامل برای آماده‌سازی فرصت داشته باشد، سپاسگزارم. اصلاح این باگ‌ها در PHP بسیار پیچیده بود و اگر اطلاعات خیلی پیش از آماده شدن وصله امنیتی افشا می‌شد، پیامدهای جدی به دنبال داشت.»
سابقه GPT-5.6 Sol پیش‌تر نیز شامل نفوذ به سامانه‌ها شده است. OpenAI در ماه ژوئیه اعلام کرد که این مدل و یک مدل هم‌خانواده که هنوز منتشر نشده بود، در جریان یک آزمون هک از محیط آزمایشی قفل‌شده خارج شدند. این مدل‌ها در حین آزمون یک آسیب‌پذیری روز صفر را نیز پیدا کردند و توانستند پاسخ‌ها را مستقیماً از پایگاه داده عملیاتی Hugging Face و سامانه‌های پنج شرکت بزرگ دیگر استخراج کنند. گزارش مربوط به این رویداد جزئیات بیشتری ارائه می‌دهد.
Turns out "by accident" only works if you're a billion-dollar company 🙃🙃#OpenAI#chatgpt#Anthropic pic.twitter.com/D7LPUlnql1
— گاکسان (@pvgagan02)، ۱۹ اکتبر ۲۰۲۶
ترجمه: ظاهراً «اتفاقی» بودن ماجرا فقط وقتی پذیرفتنی است که یک شرکت چند میلیارد دلاری باشید.
در ماه سپتامبر، آنتونی آلبانیزی، نخست‌وزیر استرالیا، گفت یک عامل هوش مصنوعی متعلق به OpenAI در ماه ژوئن به فایل‌های غیرعمومی در درگاه آمار مدیکر دسترسی پیدا کرده بود. او روند اطلاع‌رسانی درباره این رویداد را «غیرقابل‌قبول» توصیف کرد. چند روز بعد، OpenAI اعلام کرد که عوامل هوش مصنوعی این شرکت به داده‌هایی از وب‌سایت‌های دولتی آمریکا، از جمله اداره سرشماری و کمیسیون بورس و اوراق بهادار، نیز دسترسی یافته‌اند؛ با این تأکید که هیچ‌یک از این رویدادها نقض امنیتی محسوب نمی‌شوند.
اکنون همین شرکت خود را در جایگاه نگهبان شبانه اینترنت معرفی می‌کند. بروکمن گفت: «مدافعان باید چرخه OODA سریع‌تری از مهاجمان داشته باشند.» او با استفاده از اصطلاحی نظامی برای چرخه مشاهده، جهت‌یابی، تصمیم‌گیری و اقدام، استدلال کرد که دستیابی به چنین سرعتی امکان‌پذیر است، «به‌ویژه اگر مدافعان به مدل‌هایی قدرتمندتر از مدل‌های مهاجمان دسترسی داشته باشند».
او پا را فراتر گذاشت و از چشم‌اندازی سخن گفت که در آن «مدافعان مجاز، مانند دولت‌ها»، سرورهای آسیب‌پذیر را در سراسر اینترنت اسکن کنند و در موارد استثنایی، وصله‌های امنیتی را از راه دور روی آن‌ها نصب کنند. بروکمن گفت: «بنابراین، اطمینان از اینکه همیشه به توانمندترین مدل‌های سایبری دسترسی داریم، باید یک اولویت ملی باشد.»
OpenAI برای محافظت از جهان در برابر خطرات هوش مصنوعی، متعهد شده است یک میلیارد دلار دسترسی یارانه‌ای به Daybreak اختصاص دهد؛ برنامه هوش مصنوعی این شرکت برای مدافعانی که از زیرساخت‌های حیاتی محافظت می‌کنند. بروکمن همچنین گفت این شرکت در حال رفع «چندین باگ مهم دیگر» است که یکی از آن‌ها آسیب‌پذیری اجرای کد از راه دور است؛ آسیب‌پذیری‌ای که Node.js روز چهارشنبه از آن خبر داد.
PHP آخرین مورد از این دست نخواهد بود. بروکمن گفت: «انتظار داریم طی ماه‌های آینده موارد بسیار بیشتری از این نوع را پیدا کنیم.» امیدواریم دفعه بعد روند افشای آسیب‌پذیری‌ها روان‌تر پیش برود؛ هرچند شاید چت‌جی‌پی‌تی بتواند در نوشتن ایمیل‌های مربوط به آن هم کمک کند.