AIが見つけたPHPの脆弱性が悪用、公開前に4日間の先行を許す

何が起きたのか

Amazonは水曜日、インターネットの広い範囲を支えるプログラミング言語PHPの脆弱性が「広く悪用されている」状態にあると警告した。同社は、ハッカーによる悪用の試みを、脆弱性が一般に公開される4日前に確認していたとしている。クラウド最大手の警告は、政府機関や企業が自社システムの保護を急ぐ中で出された。

米国家安全保障局（NSA）と英国の当局も同じ水曜日、この脆弱性によって世界中のウェブサイトがハッキングに対して深刻な露出状態にあると警告した。欧州の一部の政府は修正作業の間、サイトを一時的に停止していると報じられている。PHPの開発陣は水曜日までに、この2つの脆弱性を修正するソフトウェアアップデートを公開した。

AIが発見した経緯

この脆弱性は、OpenAIとGoogleのモデルの助けを借りて発見された。10年以上にわたって検出されずに残っていたものが、AIによって見つかったことになる。発見したのは米国のサイバーセキュリティ関連団体・企業であるCalifとWizの研究者らだ。OpenAIはPHP、Calif、Wizと協力して脆弱性を検証し、修正プログラムの開発にあたった。

Alphabet傘下のWizは、PHPが世界のウェブサイトの約70%を支えていると推計している。PHPの普及は、最も広く使われるサイト構築基盤であるWordPressが主にPHPで書かれ、その動作をPHPに依存していることによるところが大きい。英NCSCは、この脆弱性を突かれるとパスワードなどのログイン情報なしにウェブサイトのサーバーを制御される可能性があると指摘した。NSAは「これらの脆弱性は多くの場合、サーバーのファイルシステムやデータベースへの直接的な経路となる」と説明している。

AIとサイバー攻撃の攻防

OpenAIは声明で「これらの欠陥の深刻さとPHPの普及度を踏まえると、近年で最も影響の大きいセキュリティ問題の一つと考える」と述べた。あわせて「我々の知る限り、フロンティアAIが攻撃者より先にこれらの脆弱性を発見した」としている。

一方で同社は、AIがインターネット規模の影響を持つセキュリティ欠陥を見つけられることを示す半面、同じ能力が攻撃者の攻撃ツールやエクスプロイトの開発を速めるのにも使われ得ると付け加えた。今年に入りAnthropicとOpenAIがサイバー分野で強力な能力を持つ新モデルを相次いで公開したことを受け、政治家や金融規制当局が警告を発し、米政府が一時的に展開を制限した経緯がある。

現時点での不明点

悪用の実態については、まだ分かっていない点が多い。Amazonは「広く悪用されている」と述べているが、被害を受けた組織の数や範囲について具体的な数値は示していない。公開前に確認された悪用の試みが誰によるものか、何を狙ったものかも明らかにされていない。

欧州でサイトを停止したとされる政府がどこかも、現時点では報道上の言及にとどまる。ホワイトハウスは連邦機関が政府システムや重要インフラへの影響を評価していると述べたが、評価結果は公表されていない。更新プログラムの適用がどの程度進んでいるかを示すデータもなく、日本を含む各国の組織への影響についても原文には記載がない。