OpenAI Patch the Planet: 重大なPHP脆弱性に対するグローバルな対応調整

AI主導によるPHP脆弱性の発見とグローバルな調整

OpenAIは、研究者やセキュリティプロバイダーと協力し、オープンソースプログラミング言語であるPHPの重大な脆弱性に対処するための連合を主導しました。Patch the Planetイニシアチブの一環としてGPT-5.6 Solを使用して重大な欠陥が特定され、脆弱性はWizによって独立して発見され報告されました。

PHPが広く使用されていることを考えると、このインシデントは近年で最も影響力のあるセキュリティ問題の1つと見なされています。この発見は、インターネット規模の影響を持つセキュリティ上の欠陥を明らかにするAIの能力を浮き彫りにすると同時に、攻撃者が悪用コードを迅速に開発するために同じ能力を使用する可能性があるというリスクも強調しています。

重要なことに、フロンティアAIは攻撃者よりも先にこれらの脆弱性を発見し、メンテナとセキュリティプロバイダーが公開開示に先立って修正と保護を準備する時間を可能にする「ディフェンダーズ・ウィンドウ」を生み出しました。

PHPを使用している組織にとって、当面の優先事項は利用可能な修正を適用することです。OpenAIは、運用者が脆弱なバージョンを特定し、どのアップデートが適用可能かを判断するのに役立つPHPバージョンチェッカーをCodexスキルとして提供しています。

5段階の調整対応フレームワーク

広く使用されているソフトウェアのパッチ適用の複雑さを管理するために、OpenAIはAI時代の重大な脆弱性に対応するための5段階のフレームワークを提案しています。この反復可能なプロセスは、新しい脆弱性が発見されたときにチームが迅速に行動するのに役立ちます。

1. 上流の脆弱性を検証して修正する

メンテナ、研究者、および主要な技術パートナーが発見を確認し、その影響を評価し、修正を開発してテストします。この段階には、フロンティアモデルを使用した敵対的テストが含まれ、潜在的な回避策や脆弱性の関連バリアントを特定します。

2. 影響を受ける組織に行動する時間を与える

保護を準備するために事前情報を必要とする組織を決定するためのフレームワークが提案されています。これには、アウトリーチ、情報共有契約、およびチーム間の調整が含まれます。アクションには、ディストリビューターが古いリリースに修正を適用する、ホスティングプロバイダーが緩和策をテストする、またはセキュリティプロバイダーがWebアプリケーションファイアウォール（WAF）ルールなどの検出手段を準備することが含まれます。

3. 政府パートナーと調整して重要なシステムを保護する

政府機関は、より広範な対応を調整し、重要なインフラストラクチャを管理する組織にセキュリティガイダンスが確実に届くようにするために不可欠です。PHPのケースでは、OpenAIとそのパートナーは、ホワイトハウスのスーパーインテリジェンスフォース、国家サイバー局長室（ONCD）、サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）を含む米国政府の複数の部門と、国際的なパートナーと連携しました。

4. 影響を受ける製品全体にアップデートを準備する

修正、ガイダンス、および開示計画が安定したら、メンテナは追加のディストリビューター、ホスティングおよびサービスプロバイダー、対応チーム、運用者を関与させて、必要なアップデートを準備し、カバレッジのギャップに対処します。

5. ガイダンスを公開し、展開をサポートする

公開ガイダンスにより、ユーザーは自身の露出を評価し、信頼できるアップデートまたは暫定的な緩和策を見つけ、修正が実行されていることを確認できます。このフェーズは、運用者がアップデートを展開し、必要な支援を報告するにつれて継続します。

ディフェンダーの能力とリソースの拡大

グローバルな調整は、オープンソースソフトウェアを維持する小規模なチームをサポートすることに依存しています。OpenAIは、ディフェンダーが脆弱性の発見、システム監視、および脅威対応のために高度なAI機能を活用できるように、モデル、ツール、およびパートナーシップに投資しています。

OpenAIの投資には以下が含まれます：

  • Codex for OSS: すべてのメンテナにサブスクリプションを提供。
  • 直接スポンサーシップ: Rust Foundationなどのプロジェクトをスポンサー。
  • 実践的なサポート: オープンソースプロジェクトは、直接的なエンジニアリング支援のためにPatch the Planetに申請できます。

さらに、OpenAIは、限られたセキュリティリソースで重要なサービスを保護している組織に焦点を当て、Daybreak for Frontline Defendersを通じて補助金付きのDaybreakアクセスに10億ドルをコミットしています。

OpenAIはまた、ディフェンダーへの高性能モデルへの広範なアクセスの必要性と、有害な誤用を制限する必要性のバランスを取るために、Daybreakのブロッキング分類器を改良しています。

より安全なソフトウェア基盤の構築

個々のバグを修正することを超えて、長期的な目標は、エンジニアが初期設計段階からより安全なソフトウェアを構築できるように支援することです。AIは、脆弱性を防止したり、その影響を制限したりするために、いくつかの重要な分野で支援できます：

  • 最初から安全なコード: コーディングモデルは、開発者がより安全なデフォルトを選択し、セキュリティライブラリを正しく使用し、開発中にリスクの高いパターンを特定するのに役立ちます。
  • メモリセーフなソフトウェア: AIは、重要なコンポーネントをメモリセーフな言語に移行するのに役立ち、テストと専門家によるレビューで動作の互換性を確保します。
  • 形式検証: 数学的証明を広く使用されているコンポーネントに適用して、指定されたセキュリティプロパティを満たすことを示し、脆弱性のクラス全体を排除できます。
  • より強力な分離: 信頼されていないファイルを処理するソフトウェアを厳しく制限されたサンドボックスで実行すると、脆弱性が悪用された場合の被害を制限できます。AIは、これらのサンドボックス技術のテストと強化に役立ちます。

アプローチを改善するための意見募集

OpenAIは、提案された脆弱性対応フレームワークを改良するために、メンテナ、研究者、対応チーム、プロバイダー、および運用者からのフィードバックを求めています。関心のある具体的な分野は次のとおりです：

  • 開示ウィンドウ: メンテナと運用者が信頼できる修正を準備して展開するために必要な時間と、早期開示をトリガーする証拠を決定すること。
  • 緊急パッチ適用: 政府または運用者が管理アクセスを失った後にシステムにパッチを適用するために脆弱性を使用しなければならない場合の保護手段を定義すること。
  • 早期通知: 保護措置のために事前の警告を必要とする人を確立し、カバレッジと漏洩のリスクのバランスを取ること。
  • デフォルトで安全なパッケージ: 上流の修正が保留されている間にダウンストリームパッケージの脆弱性を特定して修正する方法、または古いサポートされていないバージョンに修正をバックポートする方法を見つけること。

SUMMARY: OpenAIはPatch the Planetイニシアチブの下でグローバルな連合を主導し、PHPの重大な脆弱性の開示とパッチ適用を調整しました。これは、フロンティアAIがインターネット規模のセキュリティ上の欠陥を明らかにし、スケーラブルな対応フレームワークを確立できることを示しています。

TITLE: OpenAI Patch the Planet: 重大なPHP脆弱性に対するグローバルな対応調整

Sources