شناسایی آسیب‌پذیری حیاتی PHP در میلیون‌ها وب‌سایت با کمک GPT-5.6 Sol و Gemini 4 Argon
مدل‌های هوش مصنوعی OpenAI و گوگل آسیب‌پذیری حیاتی‌ای را در PHP شناسایی کرده‌اند که می‌تواند میلیون‌ها وب‌سایت را در سراسر جهان تحت تأثیر قرار دهد.
مدل GPT-5.6 Sol این نقص را در چارچوب ابتکار Patch-the-Planet شناسایی کرد؛ ابتکاری که OpenAI از آن به‌عنوان یکی از «مهم‌ترین مسائل امنیتی سال‌های اخیر» یاد می‌کند. این مدل آسیب‌پذیری‌ها را پیش از مهاجمان پیدا کرد و به توسعه‌دهندگان و شرکت‌های امنیتی فرصت داد تا برای مقابله با آن‌ها اقدام کنند. اکنون ابزاری در گیت‌هاب در دسترس است که مدیران سرور می‌توانند با استفاده از آن بررسی کنند آیا نسخه PHP مورد استفاده‌شان آسیب‌پذیر است یا خیر.
شرکت امنیت سایبری Wiz نیز به‌طور مستقل همین آسیب‌پذیری‌ها را شناسایی کرد. این شرکت با استفاده از پلتفرم اختصاصی Wiz Atlas و در کنار مدل‌های Gemini 4 Argon گوگل و GPT-5.6 Sol به بررسی این نقص‌ها پرداخت. به گفته Wiz، مدل Gemini 4 Argon به‌ویژه در شناسایی آسیب‌پذیری، توسعه اکسپلویت‌ها، ساخت سازوکارهای تشخیص حمله و اعتبارسنجی وصله امنیتی مفید بود.
هوش مصنوعی راه را برای مهاجمان هموارتر می‌کند
شرکت Wiz توضیح می‌دهد که در گذشته، سازگار کردن یک اکسپلویت که روی نصب مشخصی از PHP کار می‌کرد با نسخه‌ها و پیکربندی‌های دیگر، به تلاش قابل‌توجهی نیاز داشت. مدل‌های زبانی بزرگ این مانع را برمی‌دارند، زیرا می‌توانند اکسپلویت‌ها را به‌صورت خودکار با نسخه‌های مختلف PHP، پیکربندی‌های گوناگون و چیدمان‌های متفاوت حافظه سازگار کنند. این شرکت می‌نویسد: «این قابلیت، گسترش حملات در محیط‌های استقرار مختلف را به‌طور چشمگیری آسان‌تر می‌کند.» Wiz همچنین هشدار می‌دهد که «آسیب‌پذیری‌هایی که پیش‌تر بهره‌برداری از آن‌ها عملاً دشوار یا غیرعملی به نظر می‌رسید، اکنون به اهدافی قابل‌حمله تبدیل می‌شوند.»
فرایند رفع این نقص طی دو ماه و در پنج مرحله هماهنگ شد. توسعه‌دهندگان PHP، شرکت Wiz، کلادفلر و نهادهای آمریکایی، از جمله آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) و کاخ سفید، در این روند مشارکت داشتند. OpenAI پیشنهاد می‌کند این فرایند به چارچوبی تکرارپذیر برای کشف آسیب‌پذیری‌های امنیتی آینده با کمک هوش مصنوعی تبدیل شود.
OpenAI انتظار دارد موارد کشف‌شده‌ای در ابعاد آسیب‌پذیری PHP2Shell طی ماه‌های آینده «به‌شدت افزایش یابد»، اما هشدار می‌دهد که همان قابلیت‌های هوش مصنوعی که به شناسایی آسیب‌پذیری‌ها کمک می‌کنند، ممکن است در اختیار مهاجمان نیز قرار گیرند. این کشف به بحثی چندماهه درباره توانایی مدل‌های هوش مصنوعی در حمله و دفاع سایبری دامن زده است؛ بحثی که در گزارشی درباره توانایی مدل‌های کوچک و متن‌باز در یافتن همان حفره‌های امنیتی سایبری که آنتروپیک به نمایش گذاشته بود نیز بازتاب یافته است.