Yapay Zekâ İnternetin Sallantılı Altyapısını Ortaya Çıkarabilir mi?.

Bu haftanın başlarında dikkat çeken bir duyuru yapıldı: Açık kaynaklı PHP programlama dilinde sonradan keşfedilen güvenlik açıkları nedeniyle, web sitesi sahiplerinin sitelerini derhal yamalamaları gerekiyordu — ya da anında güncelleme yapamıyorlarsa, güvende kalmak için siteleri kapatmaları istendi.

Bu haftaki TechCrunch Equity podcast bölümünde, Kirsten Korosec, Sean O’Kane ve ben PHP-ocalypse’nin önemini ve gelecekte böyle olayların daha sık görüp görmeyeceğini görüp görmeyeceğimizi tartıştık.

Sean, bunu internetteki “kemik seviyesine” indiğinizde her şeyin “yapışkan ve hayallerle” bir arada tutulduğunu ortaya koyan “gerçek bir hesaplaşma anı” olarak nitelendirdi. Büyük dil modellerine ve AI ajanlarına geniş erişimle birlikte, bu açıkları bulmak giderek daha da kolay hale gelecek. (Bununla birlikte, bu belirli açıklar AI modelleri tarafından değil, araştırmacılar tarafından bulundu.)

Kirsten ise bir yandan, bankaların sömürülebileceğini ve veri ile gizlilik kaygıları göz önüne alındığında bunun “şu an düzeltmemizden çok daha büyük” göründüğü için “bir sonraki seviye hazırlıkçı felaketine” tanıklık edeceğimizi mi soracağımızı düşündü.

Sohbetimizin, uzunluk ve açıklık için düzenlenmiş bir önizlemesi için okumaya devam edin.

Sean O’Kane: Görünüşe göre bu hafta internet birçok şekilde çöküyor.

Bu konuyu düşünmenin en iyi yolu, bu soğuk havaya yeni girenler için şöyle olabilir: Son 10 yılda, birinin tek başına bakıldığı küçük bir yeniden üretilebilir depo deposunu hobi olarak yönetmesi ve içindeki kötü niyetli bir şeyin olduğunu fark edip internetteki altyapının tamamen çökmesinden bizi kurtarması gibi, bir şeyin çöktüğü ya da neredeyse çöktüğü anları kaç kez yaşadık?

Şimdi bunu bir milyarla çarpın; çünkü insanlar, herkesin kullandığı bu LLM biçiminde son derece gelişmiş yazılıma erişebilmekle kalmayıp, aynı zamanda onları kendileri yapmaları için görevlendirebilecekleri, tek bir amaca odaklanan AI ajanları oluşturabilme yeteneğine sahip.

Bu hafta iki şeyin dengesi içinde olduğunu görüyoruz. Biri, Google ve OpenAI gibi laboratuvarların ve şirketlerin, PHP’deki açık dahil olmak üzere bir sürü açıkları bulmak için insanları göndermesi. Diğeri ise, bu açıklardan yararlanıp sitelere sızmaya çalışan bir sürü kişi. Yani hükümetlerin siteleri kapatması ve bu açığı düzeltmek için kısa süreliğine kapanan gerçekten popüler siteleri görüyoruz.

Bu, internetteki her şeyin PHP gibi açık kaynaklı teknoloji üzerine inşa edilmesinin getirdiği olumsuz riski öğreneceğimiz gerçek bir hesaplaşma anı. Internetteki kemik seviyesine gerçekten indiğinizde, her şey yapışkan ve hayallerle bir arada tutuluyor.

Anthony Ha: Bu konuda dikkat çeken birçok şey vardı. Onlardan biri de — en azından benim anladığım kadarıyla — bunun yeni bir açık olmaması. PHP’de on yıllardır var olan bir açık bu.

Ve PHP, internetteki çok şeyin inşa edildiği bir programlama dili olarak kullanıldı, dolayısıyla bu açık on yıllardır oradaydı ama kimse bundan haberdar değildi. Yaşanan aslında şuydu: Wiz dahil olmak üzere bu büyük AI şirketleri — şu anda Google’a ait — bu açıkları LLM’leri kullanarak bulabildi. [Yukarıda belirtildiği gibi, bunu yanlış yaptım: Açıklar, OpenAI ve Wiz’in Hack the Planet girişimine katılan insan araştırmacılar tarafından bulundu, ancak bu açığı sömürmek için AI kullandılar.]

Sanırım hesaplamaların bir parçası şudur: Bunu yamalamamız gerekiyor, çünkü bu açığı LLM’leri kullanarak bulabiliyorsak, bunu diğer insanlar da yapabilirdi. Ancak açığı yaymanın tek yolu, açık olduğunu açıklamaktır. Ve bu da çok panikli bir durum yaratıyor: “Tamam, bu açık on yıllardır vardı. Derhal yalamalısın ve eğer derhal yalayamazsan, sadece web siteni kapat. Bu kadar ciddi bir açık.” diyorlar.

Kirsten Korosec: Bence önemli olan, birçok kişinin web sitelerinde PHP olduğunu bile fark etmemesi — ki bu, bahsettiğiniz gibi, on yıllardır var olan açık kaynaklı bir programlama dili.

Bilmeyenler için, resmi terim Hypertext Preprocessor; WordPress, Drupal gibi içerik yönetim sistemlerinin ardındaki asıl temel öge bu. Bu sistemler web sitelerinin yaklaşık %70’inde kullanılıyor. On milyonlarca web sitesinden bahsediyoruz. Bence asıl önemli olan ölçek. Aynı zamanda aklıma hemen iki şey geldi: Biri, bunun sadece başlangıç olması. Başka hangi on yıllardır var olan kötü yazılımlar var ve bunlar sömürülecek?

Diğeri ise 404 Media’nın gerçekten güzel bir analizini sunduğu bir konuydu: bağlantı çürümesi. Çünkü birçok kişi, şirket, hükümet, belki o küçük mahallenin web sitesi, bu siteleri kapatıyor. Yani çok fazla bağlantı çürümesi ve ayrıca bir parça tarih içeren ama artık erişilemeyecek web siteleri olacak; oysa yamalanmaları gerekiyordu.

Sean: Anthony, çok iyi bir nokta attın. Açıklama sürecinin yayılmasından dolayı birçok kişinin memnuniyetsiz olduğunu gördüm; OpenAI’nin bu konudaki paylaşımındaki o biraz gurur dolu tonda.

Ayrıca, birkaç kişinin bu yayının gizlilik anlaşmasının (embargo) önüne geçtiği göründü; bu da hacker topluluğu arasında bir yarış başlattı. Bence bu, Cloudflare CEO’su Matthew Prince’in PHP2Shell’e yönelik saldırıların milyonlara ulaştığını görerek bunu zaten paylaşmasıydı.

Bu açıklanamaz açıklama zafiyetleriyle ilgili şey, siber güvenlikte bunun genellikle şöyle işlediği: Bir şirketin yazılımını stres testine tabi tutuyorsanız, çok farklı bilgisayarı veya internetin parçalarını çalıştırmaya yardımcı olan temel bir yazılım parçası olsa bile, o şirkete gidebilir ve bunu açıklayabilirsiniz ve belli bir kabarcık içinde kalır. Ama biz bu kadar derin ve bu kadar temel bir şeyden bahsederken, herkesi gizlice dolaşarak uyaramazsınız.

Yani, belki yapabilirdiniz; eğer yapay zeka yeterince gelişmişse ve bir milyar ajanı, bir web sitesinin bir parçasına kontrol sahibi olan her bireye e-posta göndermekle görevlendirebilseydiniz. Web yöneticilerinin kolayca tespit edilebildiği günlere özlem duyuyoruz ve belki o zamanlar bu sorun kısmen çözülebilirdi. Ama bunu yapmanın kolay bir yolu yok. Bence bu, çok fazla gidip gelmenin ve açıkça siber güvenlikte yeni bir sınırın başlangıcı.

Kirsten: Matthew Prince’in sosyal medya paylaşımı bana gerçekten ibret vericiydi ve oldukça korkutucuydu. Ayrıca, ikinizin de bunu görüp görmediğini bilmiyorum, ancak Amazon da bir blog yazısı yayınladı. Bu, oldukça iyi sermayeye sahip bir şirket; dolayısıyla neler olduğunu yakalamak için araçlara ve bir ekibe sahipler. Temelde bir tuzak ağı, ya da bir oltalama ağı işletiyorlar ve aslında bu zafiyetin halka açıklanmasından önce onu sömürmeye yönelik girişimler olduğunu gördüler.

Bence, yine bu noktaya geri dönüyor: Amazon, bunlarla mücadele etmek için araçlara, sermayeye ve bilgi birikimine sahip. Sadece o düzeyde dikkate sahip olmayan çok fazla web sitesi ve potansiyel olarak hükümet siteleri var. Bence asıl korkutucu kısım da bu.

Ve orada, muhtemelen bunu bir sonraki seviyeye, yani hazırlıkçı felaketçiliğe taşıyacak bazı yapay zeka çalışanları var; çünkü bankaların nasıl sömürülebileceğini görebilirsiniz ve veri ve gizlilik kaygılarıyla, şu an düzeltmemizden çok daha büyük bir şey gibi geliyor. Dolayısıyla iki şeye ilgi duyuyorum. Biri, insanların davranışlarının ne kadar aşırı hale geldiği; ama aynı zamanda bunun sonucunda bazı yeni girişimlerin ortaya çıkıp çıkmayacağını ya da bu güvenlik katmanlarını oluşturmak için Nvidia gibi şirketlerin sunduğu açık kaynaklı araçlardan birine mi yöneleceğimizi merak ediyorum.