اوپن‌ای‌آی می‌گوید GPT-5.6-Sol به کشف آسیب‌پذیری‌های PHP کمک کرده که اینترنت را به تکاپو انداخته‌اند
اوپن‌ای‌آی می‌گوید مدل‌های هوش مصنوعی این شرکت به کشف آسیب‌پذیری‌های امنیتی بحرانی در PHP کمک کرده‌اند؛ نقص‌هایی که وب‌سایت‌های سراسر اینترنت را برای مقابله با تهدیدهای احتمالی به تکاپو انداخته‌اند.
این شرکت در نوشته‌ای در وبلاگ خود در روز چهارشنبه اعلام کرد که طی دو ماه گذشته، رهبری ائتلافی متشکل از نگه‌دارندگان PHP، پژوهشگران امنیتی و شرکت‌های فعال در حوزه امنیت را برای رسیدگی به این آسیب‌پذیری‌ها بر عهده داشته است. این نقص‌ها اکنون با نام «PHP2SHELL» شناخته می‌شوند. بنیاد PHP نیز در نوشته‌ای که چهارشنبه منتشر کرد، از اوپن‌ای‌آی و دیگر شرکای صنعتی و پژوهشگران امنیت سایبری قدردانی کرد.
آسیب‌پذیری‌های تازه افشاشده می‌توانند به مهاجمان اجازه دهند کنترل سرورهایی را به دست بگیرند که PHP روی آن‌ها اجرا می‌شود؛ زبانی برنامه‌نویسی که بخش بزرگی از وب بر پایه آن کار می‌کند. اوپن‌ای‌آی این نقص‌ها را یکی از تأثیرگذارترین مشکلات امنیتی سال‌های اخیر توصیف کرده است.
به گفته اوپن‌ای‌آی، شرکت امنیتی Calif با استفاده از مدل GPT-5.6-Sol این شرکت، یکی از آسیب‌پذیری‌های بحرانی را در چارچوب برنامه امنیتی «Patch the Planet» اوپن‌ای‌آی کشف کرد. این شرکت همچنین اعلام کرد که شرکت امنیتی Wiz نیز به‌طور مستقل هر دو آسیب‌پذیری را شناسایی و گزارش کرده است. نگه‌دارندگان PHP هدایت روند اصلاح این نقص‌ها را بر عهده داشتند و اوپن‌ای‌آی، Wiz، Cloudflare و دیگر شرکا با انجام پژوهش و آماده‌سازی تدابیر حفاظتی پیش از انتشار عمومی جزئیات، به این تلاش‌ها کمک کردند.
گرگ براکمن، رئیس اوپن‌ای‌آی، در پستی در شبکه اجتماعی ایکس جزئیات بیشتری ارائه کرد. او گفت PHP نخستین زبان برنامه‌نویسی بوده که یاد گرفته است و به همین دلیل، ارتباط شخصی ویژه‌ای با این پروژه دارد.
به گفته براکمن، این باگ از ۱۴ سال پیش در PHP وجود داشته است. نسخه محدودتری از آن در سال ۲۰۲۴ شناسایی شده بود، اما در آن زمان تهدیدی جدی تلقی نشد. شرکت Calif در ماه اوت نسخه‌ای از این باگ را پیدا کرد و تیم اوپن‌ای‌آی نیز در ماه سپتامبر، به‌طور مستقل نسخه کامل‌تری از آن را شناسایی کرد.
براکمن گفت ائتلاف قصد داشت این آسیب‌پذیری‌ها را در ۲۲ اکتبر افشا کند، اما اطلاعات پیش از موعد به بیرون درز کرد و نگه‌دارندگان PHP اصلاحیه‌ها را یک روز زودتر منتشر کردند. به گفته او، دو ماه آماده‌سازی همچنان اهمیت زیادی داشت، زیرا رفع این نقص‌ها پیچیده بود و افشای زودهنگام‌تر می‌توانست خسارت بسیار بیشتری به بار آورد.
اوپن‌ای‌آی اعلام کرد که در جریان این اقدام با نهادهای دولتی آمریکا نیز همکاری کرده است؛ از جمله «نیروی ابرهوش» کاخ سفید که در گزارش مربوط به توافق شرکت‌های فناوری با کاخ سفید به آن اشاره شده، همچنین دفتر مدیر ملی امنیت سایبری و آژانس امنیت سایبری و زیرساخت آمریکا (CISA).
اوپن‌ای‌آی می‌گوید ماجرای PHP آخرین نمونه از این دست نخواهد بود. این شرکت اعلام کرده که تاکنون چندین آسیب‌پذیری جدی دیگر نیز یافته و انتظار دارد شمار چنین کشفیاتی در ماه‌های آینده به‌شدت افزایش یابد. براکمن همچنین به یک آسیب‌پذیری جداگانه از نوع اجرای کد از راه دور اشاره کرد که Node.js، یکی دیگر از فناوری‌های پرکاربرد وب، روز چهارشنبه آن را افشا کرد.
در سال جاری میلادی، مدل‌های جدید هوش مصنوعی مانند GPT-5.6-Sol و Claude Mythos به افزایش سریع شمار باگ‌های کشف‌شده کمک کرده‌اند. این روند باعث شده است برخی طرح‌های شناسایی و گزارش باگ‌های روز صفر، به‌طور کامل فعالیت خود را متوقف کنند؛ موضوعی که پیش‌تر در گزارش مشبل به آن پرداخته شده بود.
براکمن نوشته است که شیوه فعلی رسیدگی به چنین باگ‌هایی «کند و دستی» است و با افزایش توانایی هوش مصنوعی در یافتن آسیب‌پذیری‌ها، دیگر پاسخ‌گوی نیازها نخواهد بود. اوپن‌ای‌آی اکنون از جامعه امنیت سایبری خواسته است درباره فرایند جدیدی برای هماهنگی در افشای آسیب‌پذیری‌ها بازخورد بدهند. یکی از پیشنهادهای مطرح‌شده این است که دولت‌ها یا نهادهای مجاز مسئول حفاظت از سامانه‌ها، به‌طور مستمر اینترنت را برای شناسایی سیستم‌های آسیب‌پذیر بررسی کنند. این نهادها در صورت یافتن چنین سیستم‌هایی، به مالکان وب‌سایت‌ها هشدار دهند و در موارد بسیار حاد، خودشان اصلاحیه امنیتی را نصب کنند.
اوپن‌ای‌آی در عین حال به خطرهای احتمالی این رویکرد نیز اذعان دارد. همان توانایی‌های هوش مصنوعی که به کشف این نقص‌ها کمک کرده‌اند، می‌توانند به مهاجمان نیز امکان دهند سریع‌تر ابزارهای سوءاستفاده از آسیب‌پذیری‌ها را بسازند. این شرکت می‌گوید یک میلیارد دلار برای فراهم کردن دسترسی یارانه‌ای سازمان‌های محافظت‌کننده از خدمات حیاتی به ابزارهای امنیتی خود اختصاص داده است. همچنین ابزاری منتشر می‌کند که به مدیران وب‌سایت‌ها کمک می‌کند بررسی کنند آیا نسخه آسیب‌پذیر PHP را اجرا می‌کنند یا خیر.
این هفته، اینترنت هم روزهای پرآشوبی را می‌گذراند
تلاش‌های فوری برای نصب اصلاحیه‌ها به‌وضوح در سراسر اینترنت دیده شده است. ویکی‌پدیا صبح چهارشنبه از دسترس خارج شد و بنیاد ویکی‌مدیا در گفت‌وگو با مشبل تأیید کرد که این اختلال با آسیب‌پذیری‌های PHP ارتباط داشته است. این بنیاد گفت برای احتیاط، سامانه‌های دیگری را نیز تا زمان نصب ایمن اصلاحیه‌ها از دسترس خارج کرده است.
وب‌سایت‌های پرطرفدار دیگری هم از دسترس خارج شده‌اند یا اطلاعیه‌های تعمیر و نگهداری منتشر کرده‌اند. بر اساس اطلاعات Downdetector، وب‌سایت‌ها و سرویس‌هایی که هم‌زمان با مشکلات PHP با اختلال روبه‌رو شده‌اند، شامل Asana، GOG، Duolingo، Capital One، Bitbucket، Moodle، Quest Diagnostics، بازی Final Fantasy XIV، بازی War Thunder و آرشیو اینترنت هستند. بیشتر این سرویس‌ها هنوز اعلام نکرده‌اند که آیا مشکلاتشان به PHP مربوط است یا خیر؛ بااین‌حال، این زبان برنامه‌نویسی زیربنای بخش بزرگی از اینترنت است.
در کنار واکنش نهادهای امنیت سایبری دولت آمریکا، رهبران کشورهای دیگر نیز وارد عمل شده‌اند. نخست‌وزیر ژاپن در اقدامی غیرمعمول، با انتشار پیامی عمومی در شبکه ایکس از تمام افرادی که وب‌سایت اداره می‌کنند خواست همان شب برای رفع این مشکل اقدام کنند؛ این موضوع در ترجمه‌ای از پیام ژاپنی او آمده است.
نخست‌وزیر از مدیران وب‌سایت‌ها خواست بررسی کنند که آیا وب‌سایت‌های عمومی آن‌ها از PHP استفاده می‌کنند یا خیر و به‌محض انتشار اصلاحیه، آن را نصب کنند. این اصلاحیه قرار بود ساعت ۱۱ شب ۲۱ اکتبر به وقت ژاپن منتشر شود؛ زمانی که با ساعت ۱۰ صبح منطقه زمانی شرقی آمریکا مطابقت دارد.
برای بیشتر مردم، پیامد این ماجرا احتمالاً به از دسترس خارج شدن موقت برخی وب‌سایت‌ها محدود خواهد شد. کاربران عادی نیازی به نصب هیچ نرم‌افزاری ندارند، زیرا مسئولیت نصب اصلاحیه‌ها بر عهده شرکت‌هایی است که وب‌سایت‌ها را اداره می‌کنند.
افشاگری: شرکت Ziff Davis، مالک مشبل، در آوریل ۲۰۲۵ شکایتی علیه اوپن‌ای‌آی ثبت کرد و مدعی شد این شرکت در فرایند آموزش و راه‌اندازی سامانه‌های هوش مصنوعی خود، حق نشر آثار متعلق به Ziff Davis را نقض کرده است.