🤖 AI总结
主题
AI时代网络安全漏洞的发现与修复挑战
摘要
AI助力发现PHP严重漏洞，但修复仍困难，需加强防御投入与自动化工具开发。
关键信息
- 1 AI工具帮助发现PHP2Shell严重漏洞，影响NASA、维基百科等网站
- 2 发现漏洞与修复漏洞存在不对称，防御方面临巨大压力
- 3 专用AI模型与形式化验证工具结合有望自动化漏洞修复
十月底，一系列重大网络安全问题浮出水面。但其中规模最大的莫过于所谓的PHP2Shell漏洞，该漏洞使包括美国国家航空航天局（NASA）、维基百科、白宫官网以及所有基于WordPress或Drupal等平台搭建的网站都面临被攻击的风险——攻击者既能读取敏感数据，也能在主机服务器上运行恶意代码。
就目前所知，灾难已被避免：这一漏洞由网络安全研究人员发现并报告给了PHP基金会，在任何不法分子获取该漏洞之前，补丁已发布。然而，PHP2Shell可能只是煤矿中的报警金丝雀，预示着AI时代即将到来的更大危机。
网络安全初创公司Tolmo的AI安全研究负责人马特·苏伊什（Matt Suiche）表示：”我们现在目睹的一个现象是，过去40年里由人类编写的所有遗留软件正在被暴露出来。现在是时候清算这些技术债务了。”
PHP遗留漏洞与内存错误
PHP最初是”个人主页”（personal home page）的缩写，是一种创建于1994年的编程语言，主要被遗留网站使用。构成PHP2Shell漏洞基础的这个缺陷，早在2024年就已被报告给PHP基金会。该缺陷导致了一种常见问题，即内存溢出错误——分配给某段数据的内存空间不足以容纳该数据。通常情况下，这类错误只会导致程序崩溃，虽然不便但本身并不危险。因此这个缺陷一直未得到解决。
哥伦比亚大学计算机科学副教授苏曼·贾纳（Suman Jana）表示：”如果你在任何时间点查看，都会发现一堆等待修复的漏洞报告，但大多只是导致崩溃。多数人并不会太认真对待它们。”
“这只是需要大量非常具体的推理工作，过程很痛苦。而我认为，AI在这方面做得非常出色。”——苏曼·贾纳，哥伦比亚大学
今年早些时候，网络安全公司Calif在OpenAI的资助下，提出对PHP进行独立审计。短短两周内，Calif的一名研究人员借助AI工具，找到了利用该内存溢出缺陷在主机服务器上运行任意代码的方法，这使得恶意行为者能够安装恶意软件或读取关键数据。至此，这已不再是一个小问题，而是一个严重漏洞，Calif团队立即向PHP基金会发出警报，要求立刻着手开发补丁。
贾纳表示，真正利用这一漏洞需要仔细推算出如何跳转到服务器上某个特定程序内存中的具体位置，并确定以何种顺序精确覆盖哪些位才能获得系统控制权。他说：”这并不是什么高深的学问，只是需要大量非常具体的推理工作，过程很痛苦。而我认为，AI在这方面做得非常出色。”
需要明确的是，Calif的研究人员（以及确认并扩展了该漏洞范围的OpenAI和网络安全公司Wiz）都对网络安全和PHP语言有着深厚的了解。贾纳说：”我并不是说AI可以独自完成全部工作，它显然做不到。但它正在快速进步，因此排名前0.1%的专家能完成更多的工作，而排名略低于0.1%的人现在也能在不完全理解所有细枝末节的情况下完成这些工作。”
AI工具与安全领域的形式化验证
该漏洞被披露给PHP基金会后，一个由四名工程师组成的团队耗费两个月时间开发补丁，力求尽快发布。
贾纳说：”发现漏洞和修复漏洞之间存在根本性的不对称。因为在修复漏洞时，你必须确保攻击的所有环节都已被封堵，同时还不能破坏现有功能。”
这种不对称给防御方带来了巨大压力，对于像PHP这样的开源软件而言尤其如此。维护广泛使用却缺乏明确收入来源的开源项目，是一个在AI黑客工具出现之前就已存在的长期挑战。但这些工具的出现让问题变得前所未有地紧迫。
未来应对此类问题的一种方式，是为防御方提供更多资金，并让他们能够使用前沿的网络安全AI模型。贾纳说：”这些前沿实验室正在捐赠部分Token预算用于排查这些漏洞，我认为这很棒。我认为应该通过某种协同努力或捐赠机制让这种情况更多地发生。”
贾纳还对自动化补丁开发方面的形式化验证工具的快速进步持乐观态度，其中包括Anthropic在10月22日发布的新成果。他说：”补丁由大语言模型生成，随后由大语言模型生成证明来验证该补丁的正确性。唯一不由大语言模型完成的环节是证明检查，因为必须有人来核实这个证明，毕竟大语言模型会产生幻觉。所以你需要某种形式化的东西。”
人们希望，专用AI模型与形式化验证工具的结合，能让修复漏洞变得几乎像发现漏洞一样可自动化。
约翰斯·霍普金斯大学信息安全研究所计算机科学副教授马修·格林（Matthew Green）则没有那么乐观。他说：”除非发生真正严重的事件，否则没人会去解决这个问题。而PHP2Shell的严重程度还没到让人们真正重视的地步。所以当真正严重的事件发生时——可能会在2027年初的某个时候，一件让普通人都感到愤怒的坏事发生时，人们才会突然开始行动。到那时我们才会为一切投入资金。”
格林表示，在此之前，大家应该做的是及时更新软件。”如果你的手机提示’有安全更新可用，是否安装’，别等到下周，立刻去做。”
有一点是确定的——PHP2Shell只是个开始。贾纳说：”这肯定不会是最后一次。问题只在于谁先发现它。希望像这次一样，白帽黑客能先于恶意者发现它。”
© 版权声明
文章版权归作者所有，未经允许请勿转载。
