Explorações em massa surgem horas após divulgação
Equipes de segurança e administradores web correram para corrigir falhas recém-divulgadas no PHP enquanto criminosos tentavam explorar as vulnerabilidades na natureza. Segundo análise da Cloudflare milhões de tentativas de exploração foram registradas nas horas seguintes à publicação dos detalhes técnicos um volume impulsionado pelo acesso amplo a ferramentas de inteligência artificial que facilitam a armamentização rápida de falhas.
Até o momento o cenário catastrófico de sequestros em massa e vazamentos não se concretizou. A PHP Foundation afirmou não ter observado explorações bem-sucedidas do conjunto de falhas batizado de PHP2Shell e muitos exploits circulando publicamente parecem ineficazes. Contudo o papel mais interessante da IA neste episódio foi a forma como modelos avançados auxiliaram pesquisadores a descobrir vetores práticos de exploração para vulnerabilidades conhecidas, pelo menos em parte, há anos. Em outras palavras a IA transformou uma falha histórica em uma crise atual.
Pesquisadores usaram IA para vencer complexidade técnica
Pesquisadores da empresa de segurança Calif foram os primeiros a identificar as vulnerabilidades do PHP2Shell e criar exploits no início de agosto utilizando parcialmente ferramentas de IA de fronteira como parte do programa Patch the Planet da OpenAI mas também aplicando conhecimento especializado sobre o PHP suas dinâmicas e fraquezas. Alguns dos problemas subjacentes haviam sido identificados em 2024 mas eram considerados complexos demais para exploração humana na época.
Após a descoberta da Calif pesquisadores da OpenAI e da empresa de segurança Wiz, pertencente ao Google, descobriram independentemente as falhas do PHP2Shell usando ferramentas de IA. A vulnerabilidade era conhecida pela equipe do PHP há anos mas como não podia ser aproveitada por um atacante, pelo menos não por um humano, não foi abordada, explicou Sagi Tzadik pesquisador de segurança da Wiz.
Pressão sobre times de TI aumenta com volume de falhas
Nenhum software é perfeito e falhas inevitavelmente existem até nas ferramentas digitais mais críticas e fundamentais, mas as capacidades expandidas dos modelos de IA tornaram a análise e a potencial exploração de vulnerabilidades mais rápidas. Isso coloca ainda mais pressão sobre equipes de TI, desenvolvedores e administradores subdimensionados para acompanhar o ritmo. As atualizações de segurança da Microsoft deste mês incluíram um recorde de 1.453 vulnerabilidades. Enquanto isso o Bank of America contratou recentemente mil consultores para corrigir falhas descobertas pelo Mythos da Anthropic. Pesquisadores enfatizam, porém, que a IA não está fazendo nada fundamentalmente novo, mas sim amplificando dinâmicas existentes de descoberta de vulnerabilidades e divulgação coordenada.
Definitivamente veremos mais desses bugs de longa vida que estão em todas as versões do software há uma década ou mais, afirmou Jake Williams vice-presidente de pesquisa e desenvolvimento na Hunter Strategy e ex-hacker da NSA. Mas acho que há um limite para essa fruta ao alcance da mão. Não há muito mais que tenha o alcance específico do PHP. É uma superfície de ataque bem selvagem, a maioria das outras ferramentas não é exposta à internet por design.
Especialistas pedem calma e destacam fator humano
Pesquisadores notam que mesmo com modelos de fronteira a maioria dos exemplos sofisticados de hacking auxiliado por IA também envolve especialização humana. Como escreveu Ryan Austin, pesquisador da Calif que descobriu as falhas do PHP, nenhum modelo é simplesmente capaz de desenterrar todos os bugs com prompts simples, pelo menos por enquanto.
Em resumo, o engenheiro e pesquisador de segurança Niels Provos sugere que todos podem reduzir o nível de pânico, pelo menos um pouco. Para ser honesto não estou realmente preocupado, disse ele, sobre a IA encontrar um número esmagador de bugs históricos que se tornam recém-exploráveis ou novas vulnerabilidades que não poderiam ter sido exploradas na prática sem IA. Pessoas estão procurando com IA há mais de um ano e exigiu uma equipe altamente qualificada encontrar esta. Veremos se estou completamente errado, mas duvido.
Com informações de: Wired Security