AIがPHPの脆弱性悪用を加速した実態
原題: The PHP Meltdown Shows How AI Makes Bugs More Exploitable
なぜ重要か
AIが「悪用困難」と見なされてきた脆弱性を現実の攻撃ベクターに変える事例が初めて広く確認され、セキュリティ対応の優先度評価そのものを見直す必要性が業界全体に突きつけられた。
セキュリティ研究者がAIを活用してPHP言語の長年の脆弱性「PHP2Shell」を発見した直後、犯罪者による悪用試行が急増。Cloudflareの分析によると、脆弱性公開から数時間以内に数百万件の悪用試行が確認された。PHP Foundationは現時点で成功した侵害は確認されていないと表明しているが、AIが既知の脆弱性を現実の脅威に変えるスピードが浮き彫りになった。
セキュリティ企業Califの研究者が今年8月初頭、OpenAIの「Patch the Planet」プログラムのAIツールと人間の専門知識を組み合わせてPHP2Shellを発見した。一部の根本的な問題は2024年に特定されていたが、当時は「悪用が複雑すぎる」として放置されていた経緯がある。その後、OpenAIの研究者とGoogle傘下のセキュリティ企業Wizも独自にAIツールを使ってPHP2Shellの欠陥を発見した。
Wizのセキュリティ研究者Sagi Tzadik氏は「この脆弱性はPHPチームに何年も前から知られていたが、攻撃者、少なくとも人間には悪用できないと判断されたため対処されなかった」と語る。つまりAIは「悪用不可能」だった脆弱性の扉を開いた形だ。
現時点でPHP Foundationは成功した侵害を確認しておらず、公開されている多くのexploitは有効でないとされている。ただ、Cloudflareは脆弱性公開後わずか数時間で数百万件の試行を観測しており、攻撃者がAIを活用して迅速に動いている現実を示す。
この問題はPHPにとどまらない。Microsoftは今月だけで過去最多となる1,453件のセキュリティ脆弱性に対応するアップデートを公開。Bank of AmericaはAnthropicのMythosが発見した欠陥の修正に1,000人のコンサルタントを投入したと報じられている。
Hunter StrategyのR&D担当副社長で元NSAハッカーのJake Williams氏は「過去10年以上全バージョンに存在するような長命の脆弱性がさらに見つかるだろう」と指摘する一方で、「ただし、これほど簡単に取れる果実は無限にあるわけではない」とも述べ、AI悪用の脅威が際限なく拡大するわけではないとの見方を示している。研究者たちはAIが「新しいことをしている」のではなく、既存の脆弱性発見・開示のサイクルを加速させているにすぎないとも強調する。