PHP’deki yeni güvenlik açıkları, AI’nin kötü niyetli saldırılara nasıl zemin hazırladığını ortaya koyuyor.
Bu hafta, güvenlik ekipleri ve web yöneticileri, yeni ortaya çıkan PHP açıklarını kapatmak için yoğun çaba sarf ederken, siber suçlular bu açıkları hızla istismar etmeye çalıştı. Cloudflare’ın analizine göre, açıkların yayımlanmasının ardından saatler içinde milyonlarca istismar girişimi gerçekleşti. Bu durum, saldırganların hataları hızlı bir şekilde kullanmasını kolaylaştıran AI araçlarına geniş erişim göz önüne alındığında şaşırtıcı değil.
Şu ana kadar, kitlesel kurban alımları ve veri ihlalleri gibi korkutucu senaryolar gerçekleşmedi. PHP Vakfı, PHP2Shell adı verilen bu açıkların başarılı bir şekilde istismar edildiğine dair bir kanıt görmediğini belirtiyor. Ancak, bu hafta AI’nin kaos içindeki en ilginç rolü, araştırmacılara yıllardır bilinen açıkları pratik istismar yöntemleri bulmalarında yardımcı olmasıydı. Başka bir deyişle, AI, tarihsel bir açığı güncel bir krize dönüştürmede etkili oldu.
PHP Açığı ve AI’nin Etkisi
Calif adlı güvenlik şirketinin araştırmacıları, PHP2Shell açıklarını tanımlayan ve bunlar için istismar yöntemleri geliştiren ilk ekip oldu. Bu süreçte, OpenAI’nin Patch the Planet programı kapsamında sınır AI araçlarını kullandıkları gibi, PHP’nin dinamikleri ve zayıflıkları hakkında uzman insan bilgisi de kullandılar. Bazı temel sorunlar 2024 yılında tespit edilmişti ancak o dönemde istismar edilmesi karmaşık olarak değerlendirilmişti. Calif’in keşfinden sonra, OpenAI ve Google’a ait Wiz güvenlik firması da bağımsız olarak AI araçları kullanarak PHP2Shell açıklarını keşfetti.
Wiz’den güvenlik araştırmacısı Sagi Tzadik, ‘Açık, PHP ekibi tarafından yıllardır biliniyordu, ancak bir saldırgan tarafından istismar edilemediği için – en azından insan bir saldırgan tarafından – ele alınmamıştı’ diyor. Hiçbir yazılım mükemmel değildir. En kritik dijital araçlarda bile kaçınılmaz olarak hatalar bulunmaktadır. Ancak AI modellerinin genişleyen yetenekleri, açıkları analiz etme ve potansiyel olarak istismar etme sürecini hızlandırmıştır. Bu durum, yeterli kaynaklara sahip olmayan IT ekipleri, geliştiriciler ve yöneticiler üzerinde daha fazla baskı oluşturuyor.
Gelecek Tehditler ve AI
Microsoft’un güvenlik güncellemeleri yalnızca bu ay 1,453 güvenlik açığı içeriyordu. Öte yandan, Bank of America, Anthropic’in Mythos tarafından keşfedilen açıkları düzeltmek için 1,000 danışman işe aldı. Güvenlik araştırmacıları, AI’nin aslında yeni bir şey yapmadığını, mevcut zayıflık keşif dinamiklerini ve koordineli ifşaları büyüttüğünü vurguluyor. Hunter Strategy’den araştırma ve geliştirme başkan yardımcısı Jake Williams, ‘Kesinlikle son on yılda her yazılım versiyonunda bulunan daha uzun süreli hataları göreceğiz’ diyor. Ancak, PHP’nin belirli erişim alanı dışında başka bir aracın bu kadar geniş bir saldırı yüzeyine sahip olmadığını belirtiyor.
Araştırmacılar, sınır AI modelleri ile bile, sofistike AI destekli hack örneklerinin çoğunun insan uzmanlığı gerektirdiğini de not ediyor. Calif araştırmacısı Ryan Austin, ‘Hiçbir model, basit komutlarla ‘tüm hataları’ ortaya çıkarma kapasitesine sahip değildir. En azından şimdilik’ şeklinde yazdı. Kısacası, güvenlik mühendisi ve araştırmacı Niels Provos, herkesin panik yapmasını bir nebze olsun azaltabileceğini söylüyor. ‘Açıkçası, AI’nin yeni istismar edilebilir hale gelen sayısız tarihsel hata bulmasından endişe duymuyorum’ diyor. ‘İnsanlar, AI ile bir yıldan fazla bir süredir araştırma yapıyorlar ve bu açığı bulmak için oldukça yetenekli bir ekip gerekiyordu. Umarım tamamen yanılıyor olmam, ama sanmıyorum.’
Kaynak: Wired
