AI 工具正使網路攻擊者更容易利用已知的軟體漏洞，如近期 PHP 漏洞的快速利用嘗試所示。儘管大規模資安災難尚未發生，AI 確實協助研究人員發現了這些存在多年的漏洞的實際利用方式，將其轉化為當前危機。這對資源不足的 IT 團隊造成更大壓力，但專家也強調，AI 只是放大現有動態，且人類專業知識仍不可或缺。
本週，資安團隊和網站管理員正忙於修補新公開的 PHP 漏洞，而犯罪駭客也迅速嘗試利用這些缺陷。根據 Cloudflare 的分析，數百萬次的攻擊嘗試在漏洞發布後數小時內發生，這並不令人意外，因為廣泛普及的 AI 工具讓攻擊者能更容易地快速利用這些漏洞。
迄今為止，大規模受害者帳戶被接管和資料外洩的惡夢情境尚未發生。PHP Foundation 表示，他們尚未發現任何成功利用這些統稱為 PHP2Shell 漏洞的案例，且許多公開流傳的潛在攻擊程式似乎無效。然而，本週混亂中最有趣的 AI 角色，或許是先進模型如何協助研究人員發現這些漏洞的實際利用方式，這些漏洞至少部分已存在多年。換句話說，AI 幫助將歷史性的漏洞轉變為當前的危機。
那麼，我們是否即將面臨一波數十年來一直存在的關鍵漏洞的衝擊呢？資安公司 Calif 的研究人員在八月初率先識別出 PHP2Shell 漏洞並建立攻擊程式，部分是透過 OpenAI 的 Patch the Planet 計畫使用尖端 AI 工具，但也結合了人類對 PHP 及其運作方式和弱點的專業知識。
一些潛在問題早在 2024 年就被發現，但當時被認為過於複雜而無法利用。在 Calif 發現之後，OpenAI 和 Google 旗下的資安公司 Wiz 的研究人員也獨立使用 AI 工具發現了 PHP2Shell 缺陷。
Wiz 的資安研究員 Sagi Tzadik 表示：「PHP 團隊多年來一直知道這個漏洞，但因為攻擊者無法利用它，至少人類攻擊者無法，所以一直沒有處理。」
沒有軟體是完美的。即使是最關鍵、基礎的數位工具，也難免存在缺陷，但 AI 模型不斷擴展的能力，使得分析和潛在利用漏洞的速度更快。這給資源不足的 IT 團隊、開發人員和管理員帶來了更大的壓力，要求他們跟上腳步。光是本月，Microsoft 的安全更新就包含了創紀錄的 1,453 個安全漏洞。
同時，美國銀行最近也聘請了 1,000 名顧問來修復 Anthropic 的 Mythos 發現的缺陷。然而，資安研究人員強調，AI 最終並沒有做任何新的事情，而是在放大現有的漏洞發現和協調披露的動態。
Hunter Strategy 研發副總裁、前 NSA 駭客 Jake Williams 表示：「我們肯定會看到更多這類存在於過去十年所有軟體版本中的『長壽漏洞』。但我認為這種唾手可得的機會有限。沒有多少其他工具能像 PHP 這樣具有特定的廣泛影響力。它是一個相當狂野的攻擊面，大多數其他工具並非設計成直接暴露在網際網路上。」
研究人員也指出，即使是使用尖端模型，大多數複雜的 AI 輔助駭客攻擊案例也涉及人類專業知識。正如 Calif 研究員 Ryan Austin（他首先發現了 PHP 缺陷）本週所寫：「沒有任何模型能夠僅憑簡單的提示詞就挖掘出『所有漏洞』。至少目前是這樣。」
簡而言之，資安工程師兼研究員 Niels Provos 表示，大家至少可以稍微放鬆一下。他談到 AI 發現大量新近可利用的歷史漏洞，或沒有 AI 就無法實際利用的新漏洞時說：「老實說，我並不真的擔心。人們使用 AI 尋找漏洞已經一年多了，而這個漏洞需要一個高技能團隊才能找到。我想我們會看到我是否完全錯了，但我對此表示懷疑。」
覺得值得一看？分享給朋友。
以上為 AI 自動翻譯導讀。原文版權歸 Wired AI 所有， 建議透過「閱讀原文」前往原始網站，以取得最完整資訊並支持原作者。
43 個來源、每 2 小時更新，太多看不完。電子報每週挑最值得看的幾則，附上 Max 的看法。
