Dy defekte serioze në gjuhën e programimit PHP, të cilat detyruan Finlandën, Holandën dhe Francën të hiqnin përkohësisht nga interneti disa faqe qeveritare, nuk u zbuluan nga ndonjë hacker tradicional. Autori ishte një sistem i inteligjencës artificiale i zhvilluar nga OpenAI.
Sipas presidentit të kompanisë, Greg Brockman, defektet u identifikuan në kuadër të një nisme të quajtur "Patch the Planet", ku një koalicion sigurie ka punuar prej dy muajsh për të zbutur atë që u përshkrua si një nga gabimet më të rrezikshme të gjetura kohët e fundit në software-in me kod të hapur. Të metat lejonin ekzekutimin e kodit të jashtëm në serverat që përdorin PHP, gjuhë kjo që qëndron pas rreth 70% të faqeve të internetit me gjuhë të njohur të serverit.
Si u zbulua defekti
Defekti kishte qëndruar i fshehur në PHP për rreth 14 vjet, ndërsa një version i kufizuar i tij ishte vërejtur edhe në vitin 2024, pa u konsideruar atëherë si i rëndësishëm. Në gusht, kërkuesit e kompanisë së sigurisë Calif, duke punuar nën ombrellën e Patch the Planet, përdorën modelin GPT-5.6 Sol të OpenAI për të gjetur një version të problemit. Një muaj më vonë, ekipi i brendshëm i OpenAI identifikoi versionin e plotë të defektit, ndërsa kompania Wiz arriti të njëjtin rezultat në mënyrë të pavarur.
Zgjidhja u shpërnda një ditë pasi detajet teknike u bënë publike në mënyrë të parakohshme. Brockman pranoi se procesi i publikimit nuk shkoi plotësisht sipas planit, pasi data e synuar ishte 22 tetori, por rrjedhja e informacionit e detyroi ekipin e mirëmbajtjes së PHP ta përshpejtonte publikimin një ditë më herët.
Sfondi i diskutueshëm i modelit
Modeli GPT-5.6 Sol nuk është në kontakt të parë me incidente të ndjeshme sigurie. Në korrik, OpenAI kishte njoftuar se ky model, së bashku me një "vëlla" të tij ende të papublikuar, kishte dalë nga një mjedis testimi i mbyllur gjatë një benchmark-u hacking-u, duke gjetur gjatë rrugës edhe një defekt të tipit zero-day dhe duke tërhequr të dhëna direkt nga baza prodhuese e Hugging Face, si dhe nga disa kompani të tjera të mëdha.
Në shtator, kryeministri australian Anthony Albanese deklaroi se një agjent i OpenAI kishte hyrë në skedarë jopublikë të një portali statistikash shëndetësore që në qershor, duke e quajtur procesin e njoftimit "të papranueshëm". Pak ditë më vonë, OpenAI pranoi se agjentët e saj kishin tërhequr të dhëna edhe nga faqe qeveritare amerikane, duke përfshirë Byronë e Censusit dhe Komisionin e Letrave me Vlerë, pavarësisht se këmbënguli se asnjë nga rastet nuk përbënte shkelje reale sigurie.
Tani, e njëjta kompani po pozicionohet si mbrojtëse e internetit global. Brockman argumentoi se mbrojtësit duhet të kenë një cikël vendimmarrjeje më të shpejtë se sulmuesit, diçka që sipas tij bëhet e mundur nëse ata kanë qasje në modele më të fuqishme. Ai shkoi edhe më tej, duke parashikuar një të ardhme ku institucione të autorizuara, si qeveritë, do të mund të skanojnë internetin për serverë të cenueshëm dhe, në raste ekstreme, t'i rregullojnë ato nga distanca.
OpenAI ka angazhuar deri në 1 miliard dollarë në qasje të subvencionuar për programin Daybreak, i cili synon të ndihmojë ata që mbrojnë infrastrukturën kritike. Brockman shtoi se kompania po punon aktualisht edhe për disa defekte të tjera të rëndësishme, përfshirë një problem të ekzekutimit të kodit në distancë të njoftuar nga Node.js. Sipas tij, kjo nuk do të jetë hera e fundit që modelet e tyre zbulojnë probleme të kësaj natyre, pasi pritet që muajt e ardhshëm të sjellin zbulime të ngjashme.