AI sẽ phơi bày cơ sở hạ tầng ọp ẹp của Internet?

Một thông báo gây sửng sốt đã được đưa ra vào đầu tuần này: Do các lỗ hổng được phát hiện gần đây trong ngôn ngữ lập trình nguồn mở PHP, chủ sở hữu trang web đã phải vá ngay lập tức trang web của họ – hoặc nếu không thể cập nhật ngay, họ nên gỡ trang web xuống để đảm bảo an toàn.

Trong tập podcast tuần này của TechCrunch’s Equity, Kirsten Korosec, Sean O’Kane và tôi đã thảo luận về tầm quan trọng của ngày tận thế PHP và liệu chúng ta có thấy nhiều sự cố như thế này hơn trong tương lai hay không.

Sean gọi đây là “khoảnh khắc tính toán thực sự”, nhấn mạnh rằng “khi bạn tìm hiểu sâu hơn về Internet”, mọi thứ dường như được “gắn kết với nhau bằng keo và những giấc mơ”. Và với khả năng truy cập rộng rãi vào các mô hình ngôn ngữ lớn và tác nhân AI, việc tìm ra những lỗ hổng này sẽ trở nên dễ dàng hơn. (Điều đó nói lên rằng, những lỗ hổng cụ thể này được tìm thấy bởi các nhà nghiên cứu con người chứ không phải mô hình AI.)

Trong khi đó, Kirsten tự hỏi liệu chúng ta có sắp chứng kiến ​​“cấp độ tiếp theo của sự diệt vong (…) hay không bởi vì bạn có thể thấy các ngân hàng có thể bị lợi dụng như thế nào và (với) những lo ngại về dữ liệu và quyền riêng tư, nó có vẻ lớn hơn rất nhiều so với những gì chúng ta có thể khắc phục ngay bây giờ.”

Hãy tiếp tục đọc để xem trước cuộc trò chuyện của chúng tôi, đã được chỉnh sửa để có độ dài và rõ ràng.

Sean O’Kane: Có vẻ như tuần này Internet đang bùng nổ theo nhiều cách.

Tôi nghĩ cách tốt nhất để nghĩ về điều này, nếu mọi người rơi vào trạng thái lạnh lùng này: Đã bao nhiêu lần trong 10 năm qua chúng ta đã có những khoảnh khắc mà thứ gì đó bị hỏng hoặc thứ gì đó gần như bị hỏng, khi một người duy trì một kho lưu trữ repro nhỏ như một sở thích hoặc bất cứ điều gì xảy ra để nhận ra rằng có điều gì đó bất chính đang diễn ra và cứu chúng ta khỏi cơ sở hạ tầng của Internet hoàn toàn sụp đổ?

Bây giờ hãy nhân con số đó lên một tỷ, khi mọi người có quyền truy cập vào không chỉ phần mềm cực kỳ tiên tiến dưới dạng LLM mà mọi người sử dụng, mà còn có khả năng giao nhiệm vụ cho họ ra ngoài và tự làm việc đó, bằng cách tạo ra các tác nhân AI chuyên tâm hoàn thành những điều đó.

Chúng ta đang thấy sự cân bằng của hai điều xảy ra trong tuần này. Một là một loạt các phòng thí nghiệm và công ty như Google và OpenAI thực sự đã cử người ra ngoài và tìm ra một loạt lỗ hổng, bao gồm cả lỗ hổng có PHP. Và sau đó chúng ta cũng có một nhóm người dường như đang vội vàng lợi dụng những lỗ hổng đó để thử và hack vào các trang web. Vì vậy, chúng tôi yêu cầu các chính phủ gỡ bỏ các trang web, chúng tôi có những trang web thực sự phổ biến sắp ngừng hoạt động trong thời gian ngắn để có thể khắc phục lỗ hổng này.

Đây là thời điểm cần tính toán thực sự, nơi chúng ta sẽ tìm ra rủi ro bất lợi của việc xây dựng quá nhiều Internet trên công nghệ nguồn mở như PHP. Khi bạn thực sự hiểu sâu hơn về Internet, nó sẽ được gắn chặt với nhau bằng keo và những giấc mơ.

Anthony Hà: Có rất nhiều điều gây ấn tượng về điều này. Một trong số đó là thực tế rằng – ít nhất theo tôi hiểu – đây không phải là một lỗ hổng mới. Đây là một lỗ hổng đã tồn tại trong PHP trong nhiều thập kỷ.

Và PHP đã được sử dụng làm ngôn ngữ lập trình để xây dựng rất nhiều trang web, vì vậy lỗ hổng này đã tồn tại hàng thập kỷ nhưng không ai biết về nó. Về cơ bản, điều đã xảy ra là các công ty AI lớn này – bao gồm cả Wiz, hiện thuộc sở hữu của Google – họ có thể tìm thấy những lỗ hổng này bằng cách sử dụng LLM. (Như đã lưu ý ở trên, tôi đã hiểu sai: Các nhà nghiên cứu con người tham gia sáng kiến ​​OpenAI và Hack the Planet của Wiz đã tìm thấy các lỗ hổng, mặc dù họ đã sử dụng AI để khai thác lỗi.)

Tôi đoán một phần của tính toán là chúng ta cần phải vá lỗ hổng này, bởi vì nếu chúng ta có thể tìm thấy lỗ hổng này bằng cách sử dụng LLM thì những người khác cũng vậy. Nhưng cách duy nhất chúng tôi có thể đưa bản vá ra ngoài đó là công bố lỗ hổng. Và do đó, nó tạo ra một tình huống rất hoảng loạn khi (họ nói): “Được rồi, lỗ hổng này đã tồn tại hàng thập kỷ. Bạn phải vá ngay lập tức, và nếu không thể vá ngay, chỉ cần gỡ trang web của bạn xuống. Đó là một lỗ hổng nghiêm trọng.”

Kirsten Korosec: Tôi nghĩ điều quan trọng là, nhiều người thậm chí không nhận ra rằng trang web của họ có PHP – như bạn đã đề cập, đây là ngôn ngữ lập trình nguồn mở có tuổi đời hàng thập kỷ.

Dành cho những ai chưa biết, Hypertext Preprocessor là thuật ngữ chính thức, (nó) đây thực sự là thành phần cốt lõi đằng sau các hệ thống quản lý nội dung được sử dụng trên khắp WordPress, Drupal, tương đương với 70% trang web. Chúng ta đang nói đến hàng chục triệu trang web. Vì vậy, với tôi, đó là quy mô. Nó cũng khiến tôi nghĩ ngay đến hai điều: Một, đây mới chỉ là sự khởi đầu. Còn phần mềm xấu nào đã tồn tại hàng chục năm tuổi sắp bị khai thác?

Và một vấn đề khác là thứ mà 404 Media, vốn có một sự cố thực sự lớn, đã đề cập, đó là lỗi liên kết. Bởi vì rất nhiều người, công ty, chính phủ, có thể là trang web nhỏ ở khu vực lân cận, họ đang đóng cửa những (trang web) này. Và vì vậy chúng ta sẽ có rất nhiều liên kết bị hỏng và cả những trang web có thể có một phần lịch sử nhỏ mà sẽ không thể truy cập được nữa, thay vì vá nó.

Sean: Anthony, tôi nghĩ bạn đã đưa ra quan điểm thực sự tốt. Tôi đã thấy rất nhiều người không hài lòng với việc giới thiệu tiết lộ ở đây, có một chút tức giận mà OpenAI dường như đã thực hiện trong bài đăng của mình về nó.

Ngoài ra, có vẻ như một số người đã đi trước lệnh cấm vận đối với bản phát hành này, điều này đã gây ra một cuộc chạy đua giữa nhóm hacker. Tôi nghĩ rằng chính Giám đốc điều hành Cloudflare, Matthew Prince (người) đã đăng bài về việc chứng kiến ​​hàng triệu vụ hack PHP2Shell cố gắng leo thang.

Vấn đề với những lỗ hổng này, cách thức hoạt động trong an ninh mạng thường là, nếu bạn đang căng thẳng khi kiểm tra phần mềm của công ty, ngay cả khi đó là một phần mềm cơ bản giúp chạy nhiều máy tính hoặc các bộ phận khác nhau của Internet hoặc bất cứ thứ gì, bạn có thể đến công ty đó và tiết lộ nó và nó gần như vẫn nằm trong bong bóng đó. Nhưng khi chúng ta đang nói về điều gì đó sâu sắc và cơ bản như thế này, bạn không thể đi loanh quanh và nói với mọi người một cách kín đáo.

Ý tôi là, có lẽ bạn có thể làm được, nếu AI đủ tiên tiến và bạn có thể giao nhiệm vụ cho một tỷ đặc vụ gửi email đến từng người có quyền kiểm soát một số phần của trang web. Chúng ta hiện đang hối tiếc về những ngày mà chúng ta có những quản trị viên web có thể dễ dàng nhận dạng và có thể điều đó sẽ giải quyết được vấn đề ở một mức độ nào đó. Nhưng không có cách nào dễ dàng để làm điều này. Tôi nghĩ đây là sự khởi đầu của những gì sẽ có nhiều tiến triển và rõ ràng là một biên giới mới trong lĩnh vực an ninh mạng.

Kirsten: Đối với tôi, bài đăng trên mạng xã hội của Matthew Prince thực sự đáng chú ý và khá đáng sợ. Ngoài ra, tôi không biết liệu một trong hai bạn có thấy điều này không, nhưng Amazon cũng đã đăng một bài đăng trên blog. Đây là một công ty có vốn hóa rất tốt, vì vậy họ có các công cụ và đội ngũ để nắm bắt những gì đang diễn ra. Về cơ bản, họ vận hành một mạng lưới honeypot hoặc một mồi nhử và họ thực sự thấy rằng đã có những nỗ lực khai thác lỗ hổng đó trước khi nó được công bố rộng rãi.

Đối với tôi, một lần nữa, nó quay trở lại vấn đề này: Amazon có các công cụ, vốn và bí quyết để chống lại những thứ này. Có rất nhiều trang web và thậm chí cả các trang web tiềm năng của chính phủ không nhận được mức độ chú ý như vậy. Và đối với tôi, đó thực sự là phần đáng sợ.

Và có (có) một số nhân viên AI ngoài kia có lẽ sẽ đưa vấn đề này lên một tầm cao mới giống như sự diệt vong trước đó, bởi vì bạn có thể thấy các ngân hàng có thể bị lợi dụng như thế nào, và (với) những lo ngại về dữ liệu và quyền riêng tư, có vẻ như nó lớn hơn rất nhiều so với những gì chúng ta có thể khắc phục ngay bây giờ. Vì vậy, tôi quan tâm để xem hai điều. Thứ nhất, hành vi của mọi người trở nên cực đoan đến mức nào – nhưng tôi cũng tự hỏi liệu một số công ty khởi nghiệp mới sẽ xuất hiện do điều này hay liệu chúng ta sẽ chuyển sang một số công cụ nguồn mở (được cung cấp bởi các công ty như Nvidia) để tạo các lớp bảo mật này.