Umělá inteligence našla díru, kterou web nosil dvacet let. Vlády začaly vypínat stránky

Redakce noviny.ai Technologie
Umělá inteligence našla díru, kterou web nosil dvacet let. Vlády začaly vypínat stránky

Chyba se skrývala v jazyce, na kterém běží zhruba sedm z deseti webů světa. Objevil ji ne hacker, ale AI agent — a než stihly firmy záplatovat, Cloudflare počítal miliony pokusů o zneužití. Co z toho plyne pro každého, kdo má web postavený na WordPressu?

Představte si trhlinu v základech domu, kterou nikdo dvacet let neviděl. Dům přitom stojí na každé druhé ulici ve městě. Přesně tohle se minulý týden stalo internetu — jen místo zdiva jde o jazyk PHP, na kterém podle odhadů běží zhruba 70 procent všech webů na světě. A to nejzajímavější na celém příběhu: díru nenašel člověk. Našla ji umělá inteligence.

Pro českého podnikatele to není akademická kuriozita. Pokud má vaše firma web na WordPressu, Drupalu nebo Joomle — a to má drtivá většina českých firem, e-shopů i obecních úřadů — stojí tenhle web právě na PHP. Minulý týden se ukázalo, že technologie, která byla doteď spíš strašákem IT oddělení, se stala zároveň nejrychlejším nástrojem obrany i nejnebezpečnější zbraní útočníků. Pojďme si rozebrat, co přesně se stalo a co z toho plyne.

Co se vlastně stalo

Ve středu minulého týdne nadace spravující jazyk PHP spěšně vydala bezpečnostní záplatu pro dvojici kritických zranitelností. Chyby umožňovaly to nejhorší, co si správce serveru dovede představit — takzvané vzdálené spuštění kódu. Jinými slovy: útočník nemusí mít přístup k serveru, stačí mu poslat správně sestavený požadavek a může na cizím stroji spustit vlastní program. Americká FBI varovala, že právě tohle díry umožňovaly.

Reakce byla okamžitá a globální. Evropská agentura pro kybernetickou bezpečnost ENISA vyzvala organizace, aby „podnikly okamžité kroky“. FBI doporučila provozovatelům, kteří nestíhají aktualizovat, aby své weby raději rovnou vypnuli. A vlády poslechly — preventivně se odpojovaly části vládních stránek ve Finsku, Japonsku i jinde. Japonská premiérka Sanae Takaiči to shrnula střízlivě: „Dočasné pozastavení webů a podobná opatření lze považovat za účinný způsob, jak snížit riziko.“

Programátor u obrazovky se zdrojovým kódem

Nejpozoruhodnější na celé věci je stáří chyby. Podle odborníků se zranitelnost ukrývala v kódu dlouhé roky — Tiffany Farrissová z Drupal Association uvedla, že zranitelné jsou v podstatě všechny verze PHP vydané za posledních dvacet let. Dvě desetiletí tam ta trhlina byla. Procházely přes ni tisíce bezpečnostních auditů, čtly ji oči stovek programátorů. Nikdo si jí nevšiml.

AI jako detektiv i jako zloděj

Tady se příběh láme do roviny, která by měla zajímat každého, kdo sleduje, kam směřuje umělá inteligence. Díru totiž neobjevil náhodný bezpečnostní výzkumník při večerním ladění. Odhalily ji AI agenti nasazení přímo na hledání slabin v cizím kódu. OpenAI oznámila, že vedla koalici výzkumníků a bezpečnostních firem, která se chybou zabývala dva měsíce, a dodala, že umělá inteligence „zřejmě našla zranitelnosti dřív než jakýkoli útočník“. Samotnou chybu označila firma za „jeden z nejzávažnějších bezpečnostních problémů v nedávné paměti“.

Na hledání se podílelo víc týmů — vedle OpenAI také bezpečnostní firma Calif, která podle vlastního blogu narazila na chybu s pomocí jazykového modelu už 1. srpna a od té doby pracovala na opravě, a Google vlastněná Wiz. To je zásadní posun. Ještě před dvěma lety by takovou díru hledal člověk měsíce. AI agent ji našel dřív, než ji stihli zneužít zločinci. To je dobrá zpráva.

Jenže mince má dvě strany. Ve chvíli, kdy nadace zveřejnila opravu, zveřejnila tím mimoděk i to, kde chyba byla. A tady nastupuje temnější polovina příběhu: stejné AI nástroje, které díru našly, dokážou z vydané záplaty zpětně odvodit, jak zranitelnost fungovala — a napsat útok. Generální ředitel Cloudflare Matthew Prince uvedl, že během hodin po oznámení napočítali jeho systémy „miliony“ pokusů o zneužití. Amazon dokonce zachytil pokus o útok na svou návnadu už 17. října, tedy čtyři dny před veřejným oznámením.

Abstraktní koncept umělé inteligence jako ochranného štítu sítě

Vzniká tak závod, který se oproti minulosti zrychlil o celé řády. Dřív měli správci po zveřejnění záplaty klidně týdny, než se objevil funkční útok. Dnes jsou to hodiny. Čas na reakci, který měla vaše IT podpora k dispozici, se zkrátil tak dramaticky, že staré představy o „aktualizujeme příští údržbové okno“ přestávají platit.

Co to znamená pro vaši firmu

Pokud jste majitel firmy a čtete to s pocitem, že „tohle je věc pro ajťáky“, máte i nemáte pravdu. Technické řešení skutečně patří do rukou správců. Ale rozhodnutí, jak rychle a jak vážně na podobné situace reagovat, je byznysové — a je vaše. Tady je několik konkrétních závěrů.

Umělá inteligence zřejmě našla zranitelnosti dřív než jakýkoli útočník.

Ta věta od OpenAI je zároveň nadějí i varováním. Nadějí proto, že poprvé v historii máme obránce, který dokáže procházet miliardy řádků kódu a hledat v nich slabiny rychleji, než to kdy svedl člověk. Varováním proto, že stejná schopnost je k dispozici i druhé straně. Rozdíl mezi bezpečným a napadeným webem se smrskává na to, kdo má lepší nástroje a kdo reaguje rychleji.

Praktický takeaway

Příběh zranitelnosti v PHP není jen o jedné chybě v jednom programovacím jazyce. Je to první velký náhled do světa, kde kybernetickou bezpečnost na obou stranách barikády řídí umělá inteligence. Pro českého podnikatele z toho plyne jedno jednoduché pravidlo: přestaňte brát aktualizace a bezpečnost jako otravnou položku v rozpočtu, kterou lze odkládat. Dnes je to první linie obrany, na kterou útočí stroje schopné pracovat nepřetržitě a bez chyb z únavy.

Dobrá zpráva je, že se nemusíte stát expertem na kyberbezpečnost. Stačí položit svému IT partnerovi tři otázky: Je náš web záplatovaný? Jak rychle umíme reagovat na novou hrozbu? A hlídá někdo náš systém průběžně, ne jen jednou za rok? Pokud na všechny tři umíte odpovědět s klidem, máte vyhráno. Pokud ne, víte, kde začít — a víte to dřív, než vám to připomene útočník s AI po ruce.