+4,21
Per prima cosa, l’intelligenza artificiale ha annunciato l’arrivo del Bugmageddon. Ora sta innescando un’emergenza informatica che richiede la mobilitazione di tutti. Mercoledì, i creatori di PHP, una tecnologia che alimenta fino al 70% dei siti web del mondo, hanno reso noto un problema di sicurezza critico che potrebbe essere sfruttato dagli hacker per assumere il controllo di qualsiasi sistema che utilizzi il software. Ciò consentirebbe a un aggressore di rubare informazioni o lanciare un attacco informatico contro chiunque visiti un sito web compromesso.
I ricercatori di sicurezza hanno individuato la vulnerabilità grazie all’intelligenza artificiale. Ora gli amministratori dei siti web stanno correndo ai ripari per proteggersi da questa falla, che i sistemi di IA più avanzati potrebbero sfruttare rapidamente. Alcuni affermano di stare mettendo preventivamente offline i propri siti.
Il problema, denominato PHP2Shell, appartiene a una categoria di vulnerabilità legate al modo in cui PHP gestisce la memoria di un computer. Gli hacker possono sfruttarlo in diversi modi, alcuni dei quali richiedono appena pochi secondi, per eseguire software non autorizzato su qualsiasi server web che non sia stato aggiornato con le correzioni di sicurezza.
Secondo Volker Dusch, ingegnere della sicurezza presso la fondazione senza scopo di lucro che gestisce il progetto PHP, si tratta del problema di sicurezza più grave affrontato da PHP da oltre un decennio. Dusch lo ha paragonato a Heartbleed, una vulnerabilità altrettanto diffusa che, più di dieci anni fa, costrinse organizzazioni di tutto il mondo a una corsa contro il tempo per proteggere centinaia di migliaia di server. Volker Dusch è un ingegnere della sicurezza presso la fondazione senza scopo di lucro che gestisce il progetto PHP.
Quando vengono rilasciate le patch di sicurezza, parte una corsa tra chi difende i sistemi e gli hacker. I primi devono testare e installare gli aggiornamenti software, mentre i secondi studiano le patch per individuare nuove vulnerabilità: analizzano le modifiche apportate e cercano di escogitare nuovi modi per attaccare le aree interessate.
Gli strumenti di intelligenza artificiale disponibili oggi, tuttavia, possono svolgere questo lavoro molto più rapidamente di qualsiasi essere umano, rendendo potenzialmente il processo più rischioso, affermano gli esperti di sicurezza.
«Un tizio qualsiasi su Twitter potrebbe prendere le patch, sottoporle a un’IA e pubblicare uno script per sfruttare la vulnerabilità», ha dichiarato Thai Duong, amministratore delegato di Calif, l’azienda di sicurezza che ha scoperto per prima il problema. «Scoppierà il finimondo».
Ryan Austin, ricercatore presso Calif, ha individuato le vulnerabilità nell’agosto scorso con l’aiuto di GPT-5.6 Sol, uno dei modelli più avanzati di OpenAI, durante un’analisi del codice sorgente di PHP. OpenAI ha finanziato questa e altre verifiche, nell’ambito di un’iniziativa con cui le aziende di intelligenza artificiale aiutano i progetti open source a correggere le vulnerabilità software che i sistemi di AI stanno individuando.
Questa categoria di bug si nascondeva nel codice sorgente di PHP da anni. Un ricercatore di sicurezza aveva già segnalato, decenni fa, quell’area come potenzialmente problematica, ma la falla era stata considerata troppo difficile da sfruttare ed era stata in gran parte dimenticata, ha spiegato Duong.
L’intelligenza artificiale ha trovato una soluzione. Austin ha capito come prendere il controllo del codice in esecuzione nella memoria del computer inviando appena alcune decine di richieste a un server che utilizza PHP. Nei sistemi più piccoli, l’attacco richiede soltanto pochi secondi. In quelli più complessi, può richiedere ore.
L’11 agosto, Duong ha telefonato a Dusch, di PHP.«Qui c’è un problema serio», gli ha detto.«Ho avuto un momento in cui ho pensato: “Oddio, e adesso che facciamo?”», ha raccontato Dusch. «“Come faccio a comunicarlo?”». «Poi ti calmi, lasci passare l’adrenalina e ti metti a risolvere il problema», ha aggiunto.
Nel giro di poco tempo si è formato un gruppo di lavoro informale composto da ricercatori di sicurezza e ingegneri del software. Il gruppo ha collaborato con distributori di software e aziende specializzate nella sicurezza informatica, cercando soluzioni per correggere PHP2Shell e impedirne lo sfruttamento.
Dusch ha affermato che il problema di sicurezza è il più grave mai affrontato in oltre un decennio da PHP, una tecnologia che alimenta fino al 70% dei siti web del mondo. Poco dopo, i ricercatori del team di cybersicurezza Wiz di Google hanno contattato il gruppo segnalando nuovi exploit, individuati indipendentemente da Calif. Anche il gruppo di ricerca di OpenAI aveva ottenuto risultati analoghi.
L’intelligenza artificiale permette ai ricercatori di sicurezza che agiscono in buona fede di individuare migliaia di bug software, sommergendo progetti come PHP con una quantità enorme di problemi da correggere. PHP2Shell, tuttavia, è stata considerata una priorità. La capacità dell’AI di facilitare gli attacchi informatici ha alimentato il timore che i criminali potessero sfruttare la vulnerabilità su numerosi siti web prima che fosse possibile installare le patch.
PHP2Shell è «la vulnerabilità legata all’intelligenza artificiale più grave mai individuata» e, con ogni probabilità, sarebbe stata troppo complessa da scoprire senza l’IA, ha dichiarato Ami Luttwak, cofondatore di Wiz.
Duong e gli altri ricercatori hanno mantenuto la scoperta strettamente riservata mentre lavoravano alle correzioni, temendo che un hacker assistito dall’intelligenza artificiale potesse individuare e sfruttare la falla prima che il lavoro fosse terminato.
L’intervento per correggere il problema è stato imponente. Sono quasi 200 i file interessati dalle modifiche e, durante il processo, gli sviluppatori hanno scritto oltre 10.000 righe di codice.
Alla fine è stata fissata una data per il rilascio della patch: il 22 ottobre. Poi è accaduto ciò che si temeva. La notizia dell’aggiornamento è trapelata martedì in un post su Hacker News, meno di due giorni prima del rilascio previsto.
Il team di Dusch ha deciso di anticipare la pubblicazione della patch. Martedì ha avvertito il mondo, invitando tutti a tenersi pronti per un aggiornamento di sicurezza critico previsto per mercoledì. Secondo Dusch, si trattava di «un buon compromesso per informare chi deve difendere i sistemi» senza «dare agli aggressori troppo tempo per sviluppare exploit». (riproduzione riservata)