人工智能正在迫使我们偿还 40 年的技术债务

十月下旬，一系列重大网络安全问题曝光。但没有一个比所谓的 PHP2Shell 漏洞更大，该漏洞使大量网站，包括 NASA、维基百科、白宫以及在 Wordpress 或 Drupal（以及其他）上运行的所有其他网站，面临被利用的风险，这些网站能够读取敏感数据并在主机服务器上运行恶意代码。据所有人所知，灾难已经避免：网络安全研究人员发现了该黑客攻击，并将其报告给 PHP 基金会，并且在任何不良行为者利用该漏洞之前发布了补丁。然而，PHP2Shell 可能是煤矿里的金丝雀，是人工智能时代即将到来的警告信号。网络安全初创公司 Tolmo 的人工智能安全研究负责人 Matt Suiche 表示：“我们现在目睹的一件事是，过去 40 年来由人类编写的所有遗留软件都被暴露。” “现在是时候偿还技术债务了。” PHP 遗留错误和内存错误 PHP 最初代表“个人主页”，是一种编程语言，创建于 1994 年，主要由遗留站点使用。 PHP2Shell 漏洞背后的 bug 早在 2024 年就已报告给 PHP 基金会。该 bug 导致了一种称为内存不足错误的常见问题，即分配给某条数据的内存量太小，无法容纳该数据。通常，这种类型的错误会导致程序崩溃——这是一个令人不快但本质上并不危险的结果。所以这个错误仍然没有得到解决。 “如果你在任何时间点查看任何一个，都会有一堆等待修复的错误报告，它们只是崩溃。大多数人不会很认真地对待它们，”哥伦比亚大学计算机科学副教授苏曼·贾纳（Suman Jana）说。 “只是很多非常具体的推理做起来很痛苦。我认为人工智能在这方面做得非常好。” –Suman Jana，哥伦比亚大学 今年早些时候，网络安全公司 Calif 提出对 PHP 进行独立审核，由 OpenAI 赞助。两周内，加利福尼亚州的一名研究人员在人工智能工具的帮助下，找到了一种利用内存不足错误在主机服务器上运行任意代码的方法，从而允许恶意行为者安装恶意软件或读取关键数据。现在，它不再是一个小错误，而是一个严重漏洞，加州团队提醒 PHP 基金会立即开始修复补丁。 Jana 表示，实际上，利用该漏洞需要仔细找出一种方法，为服务器上运行的特定程序跳转到内存中的特定点，并准确计算出以何种顺序覆盖哪些位，以获得对系统的控制。 “这并不是真正的火箭科学，”他说。 “只是很多非常具体的推理做起来很痛苦。我认为人工智能在这方面做得非常好。”需要明确的是，Calif 的研究人员（以及 OpenAI 和 Wiz，一家确认并扩展了漏洞的网络安全公司）对网络安全和 PHP 语言都有深入的了解。 “我并不是说人工智能可以独自完成这一切。它显然不能，”贾娜说。 “但它已经有了很大的进步，因此排名前 0.1% 的[专家]可以完成更多的工作，而且现在仅低于 0.1% 的人也可以在不了解所有细节的情况下完成任务。”安全中的人工智能工具和形式验证 在向 PHP 基金会披露漏洞后，一个由四名工程师组成的团队花了两个月的时间开发了一个补丁，以便尽快发布。 “发现错误和修复错误之间存在根本性的不对称，”Jana 说。 “因为当你修复错误时，你必须确保你知道该攻击的所有部分都已关闭，并且不会破坏任何现有功能。”这种不对称性给防御者带来了很大的压力，尤其是对于 PHP 等开源软件。尽管被广泛使用，但维护没有明确收入来源的开源项目是人工智能黑客工具之前的一个长期挑战。但这些工具使这个问题比以往任何时候都更加紧迫。解决此类问题的方法之一是为防御者提供更多资金并让他们能够访问前沿网络安全人工智能模型。 “这些前沿实验室正在捐赠一些代币预算来研究这些错误，我认为这很棒，”贾娜说。 “我认为这种情况应该发生更多，无论是通过共同努力还是通过捐赠。” Jana 还乐观地认为，用于自动化修补方面的正式验证工具也在快速发展，包括 Anthropic 于 10 月 22 日发布的新版本。 “补丁是由法学硕士生成的，然后法学硕士会生成补丁正确性的证明，”Jana 说。 “法学硕士唯一没有做的事情就是校样检查，因为法学硕士会产生幻觉，所以必须有人检查证明。所以，你需要的是正式的东西。”希望，