Everyone’s talking about PHP.
誰もがPHPについて話題にしている。しかし、本当の危険は別のところにある。
日本の高市首相は昨日、国民に対し緊急の警告をXで発した。高市首相は、ウェブサイトを運営している人々に、直ちにソフトウェアを更新するよう促した。https://x.com/takaichi_sanae/status/2112890642590564386
一部の欧州諸国は自国のサイトを閉鎖した。これらすべては、ウェブサイトの約70％を支えているPHPに存在する2つの脆弱性が原因だった。
これらの脆弱性は14年間も存在しており、AIによって発見されたのだ。2年前なら、AIが1つの脆弱性を見つけただけでもニュースになっていただろう。今年、AIは数千もの脆弱性を発見した。この2年間で何が変わったのか、説明しよう。
PHPはウェブサイトを動かすフリーソフトウェアだ。発見された脆弱性により、攻撃者はパスワードを知らなくても、それらのサイトで好き勝手に操作できてしまう。
では、なぜ14年間も発見されなかったこれらの脆弱性が、今になって見つかったのだろうか。
2024年、PHPチームの開発者が、これらの脆弱性の1つにつながるバグに気づいた。しかし、それがどのように攻撃に利用されるのか理解できず、修正作業は中途半端なまま放置されていた。
今年8月、2つのセキュリティ企業が、OpenAIとGoogleのAIを活用して、互いに独立してこれらの脆弱性を発見した。そのうちの1社によると、AIの支援を受けた研究者が、わずか1週間でこの調査を完了したという。同社によれば、かつては世界トップクラスのチームでも、同じ作業に数ヶ月を要していたという。この2年間で変化したのは、AIそのものだった。
2024年末、GoogleのAI「Gemini」が、広く使用されているソフトウェアに潜む脆弱性を発見した。Googleはこれを、この種の事例としては初めて確認されたものだと説明した。
今年4月、Anthropicは自社の新しいAI「Claude Mythos」が数千件の深刻な脆弱性を発見したと発表した。これらの脆弱性の一部は、すべての主要なオペレーティングシステムやウェブブラウザに存在していた。スマートフォンの銀行アプリ、メッセージ、写真は、これらのシステムによって保護されている。ある脆弱性は、27年間もオペレーティングシステム内に潜んでいた。Anthropic社によると、このモデルはこれらの脆弱性のほとんどを人間の助けなしに見つけたという。
英国のAI Safety Instituteによると、この分野におけるAIの能力はおよそ5ヶ月ごとに倍増している。同研究所が5月に発表したデータによると、2つの新しいモデルは、そのペースさえも上回っている。この分野におけるAIは、機械並みの速度で作業する鍵師のようなものだ。人間が何年も見落としていた錠前の欠陥を、わずか数日で発見する。もしこの鍵師が欠陥を錠前メーカーに報告すれば、新しい錠前が作られる。もし同じ鍵師が泥棒のために働けば、ドアは開いてしまう。
OpenAIは、同様の能力が攻撃者による攻撃ツールの開発を急速に助長する可能性があると指摘した。Anthropicはさらに厳しい警告を発した。同社によれば、世界で最も重要なソフトウェアには依然として膨大な数の脆弱性が存在しており、こうした能力が広まるのにそう時間はかからないという。
同社は、これが経済、公共の安全、国家安全保障に深刻な影響を及ぼす可能性があるとして、モデルを一般に公開しなかったと記している。
PHP用の新しい鍵は用意されているが、各家庭の所有者が自ら鍵を交換しなければならない。ボランティアがPHPのアップデートを公開した。しかし、アップデートの公開前日、脆弱性の詳細がネット上に漏洩していた。各国政府は相次いで緊急警告を発した。
米国ではNSAが、英国では国家サイバーセキュリティセンターが、直ちにアップデートできない利用者に対し、システムの停止を勧告した。オランダのサイバーセキュリティ機関は自社のサイトを停止し、欧州最大の港であるロッテルダムも、しばらくの間サイトをオフラインの状態に保った。
日本では、保護者との連絡に用いられる保育アプリや一部のゲームが緊急メンテナンスに入った。
AIによって、脆弱性の発見は機械の速度で行われるようになった。しかし、これらの脆弱性へのパッチ適用は依然として人間の速度に留まっている。真の危険は、この2つの速度のギャップにある。
日本の首相による国民への通達や、政府機関による公式サイトの停止は、まさにそのギャップの結果だった。
スティーブン・ホーキングは2016年にこう述べた。強力なAIの台頭は、人類にとって史上最高か、あるいは史上最悪の出来事となるだろう。どちらになるかは、まだ分からない。
https://x.com/ThePenguinBTC/status/2113250032610627782