OpenAI julkaisi 21. lokakuuta tiedotteen koordinoidusta tietoturvatyöstä, jossa sen tutkijat ja kumppanit selvittivät PHP-ohjelmointikielen toteutukseen liittyviä kriittisiä haavoittuvuuksia. PHP on yksi maailman laajimmin käytetyistä verkkopalvelujen ohjelmointikielistä. Sitä hyödynnetään esimerkiksi sisällönhallintajärjestelmissä, verkkokaupoissa ja yritysten omissa verkkosovelluksissa.
Tietoturvatutkimuksessa olennaista ei ole pelkästään se, löydetäänkö virhe. Vakavasta haavoittuvuudesta on ilmoitettava oikeille ylläpitäjille, annettava mahdollisuus korjausten valmisteluun ja vältettävä sellaisten teknisten yksityiskohtien liian aikaista julkaisemista, jotka helpottaisivat hyökkääjän työtä. Tätä kutsutaan koordinoiduksi haavoittuvuuksien ilmoittamiseksi.
OpenAI:n mukaan tekoälymallit auttoivat tutkimaan mahdollisia ongelmia. Mukana yhteistyössä oli myös ulkopuolisia tietoturvatoimijoita, kuten Wiz, sekä ohjelmistojen ylläpitäjiä. Julkaisun tavoitteena oli saada löydetyt ongelmat korjatuiksi ennen niiden laajempaa hyödyntämistä. Mallien vaikutuksesta koko työn nopeuteen ei kuitenkaan voi tehdä yleispätevää arviota yhden tapauksen perusteella.
PHP-haavoittuvuuden todellinen riski riippuu siitä, mitä versiota palvelin käyttää, onko virheellinen ominaisuus käytössä ja millaiset pääsyoikeudet sovelluksella on. Esimerkiksi WordPress-sivuston ylläpitäjälle keskeisiä toimenpiteitä ovat palvelinympäristön ajantasainen PHP-versio, varmuuskopiot, lisäosien päivitykset ja webhotellin turvallisuustiedotteiden seuraaminen. Pelkkä WordPressin päivittäminen ei välttämättä päivitä palvelimen PHP-tulkintaa.
Tekoälyn hyödyntäminen puolustavassa tietoturvassa voi avata uusia mahdollisuuksia. Suurista lähdekoodivarastoista voidaan etsiä epäjohdonmukaisuuksia, ehdottaa testitapauksia ja auttaa asiantuntijoita ymmärtämään epäilyttäviä ohjelman suoritustapoja. Järjestelmän antamat havainnot on silti tarkistettava, sillä osa mallin ehdotuksista voi olla vääriä positiivisia osumia.
Haavoittuvuuksia koskevia yksittäisiä tunnisteita tai hyväksikäyttötapoja ei pidä päätellä pelkän yleisen tiedotteen perusteella. Uutisen käytännön viesti on selvä: vakavaksi arvioituun tietoturvavirheeseen on olemassa oikea-aikainen korjausprosessi, eikä organisaatioiden pidä lykätä turvallisten ja yhteensopivien päivitysten käyttöönottoa.
