OpenAIのAIが発見 ウェブ7割に影響のPHP脆弱性

php2shellの一件は、発見そのものよりも、その後に起きた経緯で注目に値する。別々に活動しながらいずれもAIモデルで欠陥を探す複数の研究チームが、同じ2つのPHP脆弱性にたどり着いた。発見は緊急事態として扱われたが、公になったのは10月20日、PHP財団が24時間以内に緊急パッチが届くと述べた時だった。この隔たり、つまり非公開の知識と公開の間のずれが問題の始まりだった。AWSによると、アマゾンを含む複数組織が合意していた10月21日14:00 UTCの協調公表時刻より前に、10月17日から悪用が始まっていた。悪用手法が公になると堰を切ったように攻撃が殺到し、サイトがパッチ適用に奔走する中で数百万回の試行が記録された。最も影響を受けたサービスであるWordPressは問題なしと報告したが、多くの政府や一部の民間組織は被害リスクを取るよりサービスを停止する道を選んだ。サイトを守る防御策だったが、利用者はアクセスを失った。OpenAIにとって、リスクを露呈した同じ出来事が商業的な賭けも裏付けた。審査を経た組織に最も高度な防御ツールへのアクセスを与えるDaybreakプログラムは急速に拡大しており、共同創業者のGreg Brockmanは発見におけるOpenAIの役割を公に宣伝してきた。同社はこの秋、サイバーセキュリティに特化したモデルを計画しており、防御的AIを副業ではなく収益源と見ていることがうかがえる。その賭けが実を結ぶかは、ツールが対抗すべきAIを活用した攻撃と同種の攻撃に対してどれだけ持ちこたえるかによるかもしれない。