OpenAI、PHPの重大脆弱性への対応を調整

OpenAIは過去2カ月にわたり、ウェブサイトやウェブアプリに使われるオープンソース言語PHPの重大な脆弱性への対応で、保守担当者、研究者、セキュリティ企業を主導しました。OpenAIによると、同社の「Patch the Planet」計画を通じ、CalifがGPT-5.6 Solで1件を発見し、Wizは独自に両方の脆弱性を見つけて報告しました。PHPの保守担当者が修正とリリースを主導し、OpenAI、Wiz、Cloudflareなどが公開前の調査、技術支援、調整に加わりました。OpenAIはPHP利用者に修正の適用を促し、PHPのバージョンを確認するCodexスキルも共有しました。運用担当者はこのツールで脆弱な可能性のある環境を見つけ、PHPや各プロバイダーの案内に基づき適用すべき更新を判断できます。

OpenAIは、深刻度とPHPの広範な利用を理由に、今回の問題を近年でも影響の大きいセキュリティ問題の一つと位置付けました。最先端AIが攻撃者より先に脆弱性を見つけたことで、保守担当者やセキュリティ企業が公開前に防御を準備する「Defender’s Window（防御側が備えるための時間）」が生まれたと同社は説明しています。一方、AIが攻撃用ツールや悪用コードの開発にも使われる恐れがあると警告しました。OpenAIは、セキュリティ資源が限られている一方で重要サービスを守る組織を対象に、「Daybreak for Frontline Defenders」を通じて補助付きDaybreak利用枠に10億ドルを約束しました。同社は、発見して修正に取り組んでいる重大な脆弱性は今回だけではなく、今後数カ月で同様の発見が急増すると予想しています。また、広く使われるソフトウェア向けの対応枠組みを提案し、セキュリティ関係者に改善を呼びかけました。

提案した枠組みは5段階です。上流で報告された脆弱性を確認し、最先端モデルを使った攻撃的なテストも含めて修正を検証すること、影響を受ける組織に準備期間を与えること、政府機関と連携して重要システムを守ること、影響を受ける製品全体の更新を準備すること、パッチ公開後に案内と適用支援を提供することです。公開前に誰へ知らせるかは保守担当者が決めます。判断基準として、組織が防御で担う役割、対応に使える時間、機密情報を扱う能力を挙げました。参加組織には業務に必要な情報を提供し、侵害の兆候を示すネットワーク記録から、より機密性の高い概念実証の悪用コードまでが含まれます。情報共有による防御効果と、限られた情報でも欠陥の手掛かりを明かす危険性を比較し、攻撃が進行中の場合、情報が漏れた場合、公開パッチで欠陥が明らかになった場合、または遅れが利用者の危険を増す場合には、対応日程を再検討します。

「Patch the Planet」のウェブサイトには、公開済みの情報開示や対処案内が集約されています。PHPについては、保守担当者によるパッチとアップグレードの手順、協力組織の調査に加え、暫定的な緩和策、プロバイダーや専門家に相談する時期、バックアップと復旧の情報を掲載しています。OpenAIは、暫定的な防御策でリスクを減らせる場合がある一方、限界や運用上の代償もあると説明しました。また、緊急の修正、即時の緩和策、計画的な更新のどれを選ぶか判断するため、CISAの優先順位付けと修復の指針を示しました。侵害の可能性を評価する必要がある場合は、フォレンジック調査も案内しています。

OpenAIによると、保守担当者には、新しいセキュリティ報告の重複を整理し、影響を評価し、サポート対象の各リリースで修正を検証するための資金、モデル利用権、エンジニアの支援が必要です。同社は保守担当者向けのCodex for OSS契約、Rust Foundationなどのプロジェクトへの支援、「Patch the Planet」を通じた実務支援を挙げました。OpenAIは悪用を減らすため、Daybreakの追加ブロック用分類器も調整中ですが、安全策が正当なセキュリティ作業を妨げる場合もあると認めています。防御側が広く利用できることと、悪用を防ぐことの両方が重要だとしています。

OpenAIは、エンジニアがより安全なソフトウェアを作るためにAIが支援できる方法として、安全なコーディングの初期設定やパターン、重要な部品をメモリ安全な言語へ移行すること、形式検証（ソフトウェアが定めた安全性の条件を満たす証明）、サンドボックス化（侵害時の被害を抑えるためソフトウェアを隔離する仕組み）を挙げました。保守担当者、研究者、対応チーム、プロバイダー、運用担当者に対し、情報開示までの期間、緊急パッチ、事前通知、安全性を初期設定にしたパッケージについて意見を求めています。下流の製品や古いバージョン向けの修正も議論の対象です。さらに、進め方を検証して不足を指摘する独立専門家も募っています。

OpenAIは過去2カ月にわたり、ウェブサイトやウェブアプリに使われるオープンソース言語PHPの重大な脆弱性への対応で、保守担当者、研究者、セキュリティ企業を主導しました。OpenAIによると、同社の「Patch the Planet」計画を通じ、CalifがGPT-5.6 Solで1件を発見し、Wizは独自に両方の脆弱性を見つけて報告しました。PHPの保守担当者が修正とリリースを主導し、OpenAI、Wiz、Cloudflareなどが公開前の調査、技術支援、調整に加わりました。OpenAIはPHP利用者に修正の適用を促し、PHPのバージョンを確認するCodexスキルも共有しました。運用担当者はこのツールで脆弱な可能性のある環境を見つけ、PHPや各プロバイダーの案内に基づき適用すべき更新を判断できます。

OpenAIは、深刻度とPHPの広範な利用を理由に、今回の問題を近年でも影響の大きいセキュリティ問題の一つと位置付けました。最先端AIが攻撃者より先に脆弱性を見つけたことで、保守担当者やセキュリティ企業が公開前に防御を準備する「Defender’s Window（防御側が備えるための時間）」が生まれたと同社は説明しています。一方、AIが攻撃用ツールや悪用コードの開発にも使われる恐れがあると警告しました。OpenAIは、セキュリティ資源が限られている一方で重要サービスを守る組織を対象に、「Daybreak for Frontline Defenders」を通じて補助付きDaybreak利用枠に10億ドルを約束しました。同社は、発見して修正に取り組んでいる重大な脆弱性は今回だけではなく、今後数カ月で同様の発見が急増すると予想しています。また、広く使われるソフトウェア向けの対応枠組みを提案し、セキュリティ関係者に改善を呼びかけました。

提案した枠組みは5段階です。上流で報告された脆弱性を確認し、最先端モデルを使った攻撃的なテストも含めて修正を検証すること、影響を受ける組織に準備期間を与えること、政府機関と連携して重要システムを守ること、影響を受ける製品全体の更新を準備すること、パッチ公開後に案内と適用支援を提供することです。公開前に誰へ知らせるかは保守担当者が決めます。判断基準として、組織が防御で担う役割、対応に使える時間、機密情報を扱う能力を挙げました。参加組織には業務に必要な情報を提供し、侵害の兆候を示すネットワーク記録から、より機密性の高い概念実証の悪用コードまでが含まれます。情報共有による防御効果と、限られた情報でも欠陥の手掛かりを明かす危険性を比較し、攻撃が進行中の場合、情報が漏れた場合、公開パッチで欠陥が明らかになった場合、または遅れが利用者の危険を増す場合には、対応日程を再検討します。

「Patch the Planet」のウェブサイトには、公開済みの情報開示や対処案内が集約されています。PHPについては、保守担当者によるパッチとアップグレードの手順、協力組織の調査に加え、暫定的な緩和策、プロバイダーや専門家に相談する時期、バックアップと復旧の情報を掲載しています。OpenAIは、暫定的な防御策でリスクを減らせる場合がある一方、限界や運用上の代償もあると説明しました。また、緊急の修正、即時の緩和策、計画的な更新のどれを選ぶか判断するため、CISAの優先順位付けと修復の指針を示しました。侵害の可能性を評価する必要がある場合は、フォレンジック調査も案内しています。

OpenAIによると、保守担当者には、新しいセキュリティ報告の重複を整理し、影響を評価し、サポート対象の各リリースで修正を検証するための資金、モデル利用権、エンジニアの支援が必要です。同社は保守担当者向けのCodex for OSS契約、Rust Foundationなどのプロジェクトへの支援、「Patch the Planet」を通じた実務支援を挙げました。OpenAIは悪用を減らすため、Daybreakの追加ブロック用分類器も調整中ですが、安全策が正当なセキュリティ作業を妨げる場合もあると認めています。防御側が広く利用できることと、悪用を防ぐことの両方が重要だとしています。

OpenAIは、エンジニアがより安全なソフトウェアを作るためにAIが支援できる方法として、安全なコーディングの初期設定やパターン、重要な部品をメモリ安全な言語へ移行すること、形式検証（ソフトウェアが定めた安全性の条件を満たす証明）、サンドボックス化（侵害時の被害を抑えるためソフトウェアを隔離する仕組み）を挙げました。保守担当者、研究者、対応チーム、プロバイダー、運用担当者に対し、情報開示までの期間、緊急パッチ、事前通知、安全性を初期設定にしたパッケージについて意見を求めています。下流の製品や古いバージョン向けの修正も議論の対象です。さらに、進め方を検証して不足を指摘する独立専門家も募っています。