PHP脆弱性がOpenAIのサイバーセキュリティ事業を後押し
- •8月、複数の研究チームがウェブの推定70％で使われるPHPに、AIを活用して2件の脆弱性を発見
- •AWSによると、ハッカーは一般公開と修正パッチの前、10月17日からphp2shellを悪用
- •OpenAIによると、Daybreak参加組織は1,885件のソフトウェア欠陥を発見し、661件のパッチを作成
8月、複数の組織の研究チームがAIモデルを使い、ウェブの推定70％で使われるプログラミング言語PHPに2件の脆弱性を発見しました。脆弱性とその悪用手法は「php2shell」と名付けられました。発見にはOpenAIのGPT-5.6 Solが重要な役割を果たしたとみられ、GoogleのGemini 4 Argonなども貢献したようです。PHP Foundationは10月20日、24時間以内に緊急パッチを出すと発表しました。OpenAI、Wiz、Califなどの連合は、2カ月にわたり非公開で修正に取り組んだ後、翌日に脆弱性を公表しました。
Amazon Web Servicesによると、ハッカーは一般公開前の10月17日からphp2shellを悪用し始めました。複数の組織には事前に通知され、10月21日14時（協定世界時）に情報を公開することで合意していましたが、脆弱性と悪用方法の情報が先に漏れたとみられます。公表後、脆弱なPHPコードで構築されたウェブサイトには「数百万件」の悪用試行があり、運営者はパッチ適用を急ぎました。WordPressは問題がなかったと報告しました。一部の政府機関や民間組織は修正を適用するまでウェブサービスを停止し、利用者が一時的にサービスを使えなくなりました。
PHPの問題を受け、OpenAIの「Daybreak」への関心が高まりました。これは、選ばれた組織に高度なツールを提供し、AIを使った高度な攻撃から守る申請制プログラムです。OpenAIは2週間前、参加組織が発見したソフトウェア欠陥は858件から1,885件に、作成したパッチは263件から661件に増えたと報告しました。共同創業者で社長のグレッグ・ブロックマンは、脆弱性と発見における同社の役割について、Xに長文を投稿してプログラムを宣伝しました。OpenAIは夏の間にサイバーセキュリティ分野の経歴を持つ最高収益責任者を採用し、防御ソフトウェアの営業チーム構築を任せました。
OpenAIは今秋、サイバーセキュリティに特化したモデルと、企業が自社のインフラ全体に導入するためのツールを発表する予定です。Fortuneによると、同社はAIサイバーセキュリティツールを収益源にできると見込んでいます。Anthropicも審査を通過した組織のサイバーセキュリティ専門家向けに「Project Glasswing」を運営しており、ほかのサービスとしてのソフトウェアの提供企業もAIを使った防御ツールを販売しています。同ニュースレターが引用した専門家は、AIモデルが大量のコードを処理し、自律的に動く能力を最近高めたと指摘しています。また、ハッカーは人間が追いつけない速さで作業するため、「エージェント・スウォーム」と呼ばれるAIエージェントの集団を使うようになっています。