Eine beunruhigende Ankündigung ging Anfang dieser Woche heraus: Aufgrund kürzlich entdeckter Schwachstellen in der Open-Source-Programmiersprache PHP mussten Website-Betreiber ihre Sites sofort patchen — oder, falls sie nicht sofort aktualisieren konnten, sollten sie die Sites sicherheitshalber herunterfahren.
In der Folge dieser Woche von TechCrunchs Equity-Podcastsprachen Kirsten Korosec, Sean O’Kane und ich über die Bedeutung der PHP-ocalypse und darüber, ob wir in Zukunft weitere Vorfälle dieser Art sehen werden.
Sean nannte dies „a real reckoning moment“, der zeigt, wie „wenn man bis auf die Knochenebene des Internets hinabsteigt“, alles „mit Klebstoff und Träumen zusammengehalten“ zu sein scheint. Und mit dem breiten Zugang zu großen Sprachmodellen und KI-Agenten wird es nur noch einfacher werden, diese Schwachstellen zu finden. (Allerdings wurden diese spezifischen Schwachstellen von menschlichen Forschern gefunden, nicht von KI-Modellen.)
Kirsten hingegen fragte sich, ob wir die „nächste Stufe des Prepper-Dooms […] erleben werden, weil man sehen kann, wie Banken ausgenutzt werden könnten, und [mit] Daten- und Datenschutzbedenken fühlt es sich einfach viel größer an, als wir es derzeit lösen können.“
Lesen Sie weiter für einen Vorausblick auf unser Gespräch, aus Gründen der Länge und Klarheit redaktionell bearbeitet.
Sean: Das Internet bricht diese Woche apparently auf vielerlei Weise, so scheint es.
Ich denke, der beste Weg, das zu betrachten, wenn Menschen völlig unvorbereitet hier einsteigen: Wie oft hatten wir in den letzten 10 Jahre diese Momente, in denen etwas bricht oder fast bricht, in denen eine Person, die ein winziges Repo-Repository als Hobby pflegt, zufällig bemerkt, dass etwas Böses im Gange ist, und uns davor bewahrt, dass die Infrastruktur des Internets vollständig zerfällt?
Jetzt multiplizieren Sie das mit einer Milliarde, wenn Menschen nicht nur Zugriff auf extrem fortschrittliche Software in Form dieser LLMs haben, die alle benutzen, sondern auch die Fähigkeit, sie zu beauftragen, selbst loszuziehen und es zu tun, mit KI-Agenten, die darauf ausgerichtet sind, diese Dinge zu erreichen.
Wir sehen diese Woche ein Zusammenspiel von zwei Dingen. Zum einen haben eine Reihe von Laboren und Unternehmen wie Google und OpenAI tatsächlich Leute losgeschickt, um eine Menge Schwachstellen zu finden, einschließlich der PHP-Schwachstelle. Und dann haben wir auch eine Menge Leute, die offenbar danach drängen, diese Schwachstellen auszunutzen, um in Websites einzudringen. Also haben wir Regierungen, die Websites herunternehmen, wir haben wirklich beliebte Websites, die kurzzeitig ausgefallen sind, um diese Schwachstelle beheben zu können.
Dies ist ein echter momentos der Abrechnung, in dem wir den Nachteil dafür erfahren werden, so viel des Internets auf Open-Source-Technologie wie PHP aufgebaut zu haben. Wenn man wirklich bis auf die Knochenebene des Internets hinabsteigt, wird es mit Klebstoff und Träumen zusammengehalten.
Anthony: Es gibt so viele Dinge, die daran bemerkenswert waren. Eine davon ist die Tatsache, dass — soweit ich es zumindest verstehe — dies keine neue Schwachstelle ist. Dies ist eine Schwachstelle, die seit Jahrzehnten in PHP existiert.
Und PHP wurde als Programmiersprache verwendet, um so viel des Webs aufzubauen, also existiert diese Schwachstelle seit Jahrzehnten, aber niemand wusste davon. Was passiert ist, ist im Wesentlichen, dass diese großen KI-Unternehmen — einschließlich Wiz, das mittlerweile Google gehört — in der Lage waren, diese Schwachstellen mithilfe von LLMs zu finden. [Wie oben angemerkt, lag ich hier falsch: Menschliche Forscher, die an OpenAI und Wiz‘ Hack-the-Planet-Initiative teilnahmen, fanden die Schwachstellen, nutzten jedoch KI, um den Bug auszunutzen.]
Ich vermute, ein Teil der Kalkulation ist, dass wir das patchen müssen, denn wenn wir diese Schwachstelle mithilfe von LLMs finden können, dann können es auch andere. Aber der einzige Weg, den Patch zu verteilen, besteht darin, die Schwachstelle anzukündigen. Und so entsteht diese sehr panische Situation, in der [sie sagen]: „Okay, diese Schwachstelle existierte seit Jahrzehnten. Sie müssen sofort patchen, und wenn Sie nicht sofort patchen können, nehmen Sie einfach Ihre Website vom Netz. Es ist so eine schwerwiegende Schwachstelle.“
Kirsten: Ich denke, das Wichtige ist, dass viele Leute nicht einmal wissen, dass ihre Websites PHP haben — was, wie Sie erwähnt haben, diese jahrzehntealte Open-Source-Programmiersprache ist.
Für diejenigen, die es nicht wissen: Hypertext Preprocessor ist der offizielle Begriff, [es] ist dieser wirklich zentrale Bestandteil hinter Content-Management-Systemen, die in WordPress, Drupal verwendet werden, etwa 70% der Websites. Wir sprechen über Zehnmillionen von Websites. Für mich ist es also die Größenordnung. Es ließ mich auch sofort an zwei Dinge denken: Erstens ist dies erst der Anfang. Welche andere jahrzehntealte schlechte Software gibt es da draußen, die ausgenutzt werden wird?
Und das andere war etwas, das 404 Media, das eine wirklich großartige Aufschlüsselung, erwähnt, was Link Rot ist. Denn viele Leute, Unternehmen, Regierungen, vielleicht auch diese kleine Nachbarschafts-Website, sie schalten diese [Websites] ab. Und so werden wir sehr viel Link Rot bekommen, und außerdem werden Websites, die vielleicht ein kleines Stück Geschichte im Netz hatten, nicht mehr zugänglich sein, anstatt sie zu erhalten.
Sean: Anthony, ich finde, du hast einen wirklich guten Punkt gemacht. Ich habe viele Leute gesehen, die mit dem Umgang mit der Offenlegung hier unzufrieden waren, ein bisschen von dem Aufgebrühtheiten, die OpenAI in seinem Beitrag dazu offenbar an den Tag gelegt hat.
Außerdem scheint es, dass ein paar Leute vor dem Embargo dieser Veröffentlichung damit rausrückten, was ein Wettrennen unter den Hackern auslöste. Ich glaube, es war Cloudflare-CEO Matthew Prince, der bereits davon postete , dass es zu Millionen versuchter Angriffe auf die PHP2Shell eskalierte.
Die Sache mit diesen Schwachstellen – so funktioniert es im Bereich Cybersecurity typischerweise: Wenn Sie die Software eines Unternehmens Stresstests unterziehen, selbst wenn es eine grundlegende Software ist, die hilft, viele verschiedene Computer oder Teile des Internets oder was auch immer zu betreiben, können Sie zu diesem Unternehmen gehen und es dort melden, und es bleibt gewissermaßen innerhalb dieser Blase. Aber wenn wir über etwas sprechen, das so tief verankert und so fundamental ist wie dieses, kann man nicht herumgehen und es jedem diskret mitteilen.
Ich meine, vielleicht könnte man das, wenn die KI fortgeschritten genug wäre und man eine Milliarde Agenten beauftragen könnte, eine E-Mail an jede einzelne Person zu senden, die Kontrolle über einen Teil einer Website hat. Wir sind jetzt an dem Punkt, an dem wir die Zeiten bereuen, in denen wir Webmaster gab, die leicht identifizierbar waren, und vielleicht hätte das das Problem bis zu einem gewissen Grad gelöst. Aber es gibt einfach keinen einfachen Weg, dies zu tun. Ich glaube, das ist der Anfang von dem, was viel Hin und Her sein wird, und klarerweise eine neue Grenze in der Cybersecurity.
Kirsten: Matthew Princes Beitrag in den sozialen Medien war für mich wirklich aufschlussreich und ziemlich erschreckend. Außerdem weiß ich nicht, ob ihr beiden das gesehen habt, aber Amazon hat auch einen Blogbeitrag veröffentlicht. Das ist ein sehr gut kapitalisiertes Unternehmen, also haben sie die Werkzeuge und ein Team, um gewissermaßen zu erfassen, was da vor sich geht. Sie betreiben im Grunde ein Honeypot-Netzwerk oder ein Ködernetz, und sie sahen tatsächlich, dass es Versuche gab, diese Schwachstelle auszunutzen, bevor sie öffentlich bekannt gegeben worden war.
Für mich führt das wieder auf diesen Punkt zurück: Amazon hat die Werkzeuge, das Kapital und das Know-how, um diese Dinge zu bekämpfen. Es gibt so viele Websites und sogar potenziell Regierungs-Websites, die einfach nicht dieses Maß an Aufmerksamkeit haben. Und das ist für mich wirklich der beängstigende Teil.
Und es gibt da draußen einige KI-Mitarbeiter, die das wahrscheinlich auf die nächste Stufe der Vorbereiter-Untergangs-Stimmung heben werden, denn man konnte sehen, wie Banken ausgenutzt werden könnten, und mit Daten- und Datenschutzbedenken fühlt es sich einfach viel größer an, als wir es jetzt lösen können. Deshalb interessieren mich zwei Dinge. Erstens, wie extrem das Verhalten der Leute wird – aber ich frage mich auch, ob als Ergebnis davon einige neue Startups entstehen werden oder ob wir uns auf einige der Open-Source-Tools [von Unternehmen wie Nvidia] stürzen werden, um diese Sicherheitsschichten zu schaffen.