A IA vai expor a infraestrutura capenga da internet?

Um anúncio surpreendente foi feito no início desta semana: devido a vulnerabilidades descobertas recentemente na linguagem de programação de código aberto PHP, os proprietários de sites tiveram que atualizar seus sites imediatamente — ou, caso não pudessem atualizar agora mesmo, deveriam tirar os sites do ar por segurança.

No episódio desta semana do podcast Equity do TechCrunch, Kirsten Korosec, Sean O’Kane e eu discutimos a importância do PHP-ocalipse e se veremos mais incidentes como este no futuro.

Sean chamou isso de “um verdadeiro momento de acerto de contas” que destaca como, “quando você chega ao nível mais fundamental da internet”, tudo parece estar “sustentado por cola e sonhos”. E com o acesso generalizado a grandes modelos de linguagem e agentes de IA, vai ficar cada vez mais fácil encontrar essas vulnerabilidades. (Dito isso, essas vulnerabilidades específicas foram encontradas por pesquisadores humanos, e não por modelos de IA.)

Kirsten, por sua vez, imaginou se estamos prestes a ver o “próximo nível do apocalipse prepper […] porque dá para ver como os bancos poderiam ser explorados e, [com] as preocupações com dados e privacidade, parece algo muito maior do que conseguimos consertar agora”.

Continue lendo para conferir uma prévia da nossa conversa, editada para fins de duração e clareza.

Sean O’Kane: Parece que a internet está quebrando de várias maneiras esta semana. 

Acho que a melhor maneira de pensar nisso, caso as pessoas estejam pegando isso meio de surpresa: quantas vezes nos últimos 10 anos tivemos esses momentos em que algo quebra ou quase quebra, em que uma pessoa mantendo um repositório minúsculo como hobby ou sei lá o quê por acaso percebe que algo nefarioso está acontecendo e nos salva de a infraestrutura da internet desmoronar completamente? 

Agora multiplique isso por um bilhão, quando as pessoas têm acesso não apenas a softwares extremamente avançados na forma desses LLMs que todo mundo usa, mas também à capacidade de encarregá-los de sair e fazer isso sozinhas, criando agentes de IA focados unicamente em realizar essas tarefas. 

Estamos vendo um equilíbrio de duas coisas acontecendo esta semana. Uma é que vários laboratórios e empresas como o Google e a OpenAI realmente colocaram pessoas para sair e encontrar um monte de vulnerabilidades, incluindo a do PHP. E a outra é que também temos um monte de gente parecendo correr para tirar vantagem dessas vulnerabilidades na tentativa de invadir sites. Então temos governos tirando sites do ar, temos sites super populares saindo do ar brevemente para conseguir corrigir essa vulnerabilidade.

Este é um verdadeiro momento de acerto de contas, em que vamos descobrir o risco negativo de construir uma parcela tão grande da internet sobre tecnologia de código aberto como o PHP. Quando você realmente chega ao nível mais fundamental da internet, ela se sustenta com cola e sonhos. 

Anthony Ha: Há tantas coisas que chamaram a atenção nisso. Uma delas é o fato de que — pelo menos pelo que entendi — esta não é uma nova vulnerabilidade. Trata-se de uma vulnerabilidade que existe no PHP há décadas.

E o PHP tem sido usado como linguagem de programação para construir grande parte da web, então essa vulnerabilidade estava lá há décadas, mas ninguém sabia disso. O que aconteceu, essencialmente, foi que essas grandes empresas de IA — incluindo a Wiz, agora de propriedade do Google — conseguiram encontrar essas vulnerabilidades usando LLMs. [Como observado acima, entendi isso errado: pesquisadores humanos que participaram da iniciativa Hack the Planet da OpenAI e da Wiz encontraram as vulnerabilidades, embora tenham usado IA para explorar a falha.]

Imagino que parte do cálculo seja: precisamos aplicar essa correção, porque se nós conseguirmos encontrar essa vulnerabilidade usando LLMs, outras pessoas também conseguirão. Mas a única maneira de lançarmos a correção é anunciar a vulnerabilidade. E isso cria essa situação de muita pânico em que [eles dizem]: “Ok, essa vulnerabilidade existia há décadas. Você precisa corrigir imediatamente e, se não puder corrigir agora, basta tirar seu site do ar. É uma vulnerabilidade grave nesse nível.”

Kirsten Korosec: Acho que o mais importante é que muitas pessoas nem percebem que seus sites têm PHP — que é esta, como você mencionou, uma linguagem de programação de código aberto com décadas de existência. 

Para quem não sabe, Hypertext Preprocessor é o termo oficial, [e ela é] realmente o ingrediente principal por trás dos sistemas de gerenciamento de conteúdo usados no WordPress, Drupal, algo em torno de 70% dos sites. Estamos falando de dezenas de milhões de sites. Então, para mim, o problema é a escala. Isso também me fez pensar imediatamente em duas coisas: primeiro, isso é apenas o começo. Que outros softwares antigos e ruins estão por aí que vão ser explorados?

E a outra foi algo que a 404 Media, que fez uma análise muito boa, mencionou, que é a podridão de links (link rot). Porque muitas pessoas, empresas, governos, talvez aquele pequeno site de bairro, estão desligando esses [sites]. E então vamos ter tanta podridão de links e também sites que talvez tivessem um pedacinho da história por aí que não vão mais estar acessíveis, em vez de serem corrigidos.

Sean: Anthony, acho que você levantou um ponto muito bom. Tenho visto muitas pessoas insatisfeitas com a forma como a divulgação foi lançada aqui, com um certo vangloriar que a OpenAI parece ter feito em sua postagem sobre o assunto.

Além disso, parece que algumas pessoas furaram o embargo deste lançamento, o que desencadeou uma corrida entre a turma dos hackers. Acho que foi o CEO da Cloudflare, Matthew Prince, [que] já havia postado sobre ver a situação escalar para milhões de tentativas de invasão do PHP2Shell.

O lance com essas vulnerabilidades, a forma como isso normalmente funciona na cibersegurança, é que, se você está fazendo testes de estresse no software de uma empresa, mesmo que seja uma peça fundamental de software que ajuda a rodar muitos computadores diferentes ou partes da internet ou o que quer que seja, você pode ir até essa empresa e fazer a divulgação de forma que ela fique meio que dentro dessa bolha. Mas quando estamos falando de algo tão profundo e fundamental quanto isso, você não pode simplesmente sair por aí contando para todo mundo discretamente. 

Quer dizer, talvez você pudesse, se a IA fosse avançada o suficiente e você pudesse encarregar um bilhão de agentes de enviar um e-mail para cada pessoa que tem controle sobre alguma parte de um site. Agora estamos lamentando os dias em que tínhamos webmasters que eram facilmente identificáveis, e talvez isso tivesse resolvido o problema até certo ponto. Mas simplesmente não há uma maneira fácil de fazer isso. Acho que este é o começo do que será um longo vai e vem e, claramente, uma nova fronteira na cibersegurança.

Kirsten: A postagem do Matthew Prince nas redes sociais foi, para mim, muito reveladora e bastante assustadora. Além disso, não sei se algum de vocês viu isto, mas a Amazon também publicou uma postagem no blog. Esta é uma empresa com muitos recursos financeiros, então eles têm as ferramentas e uma equipe para conseguir captar o que está acontecendo. Eles operam, basicamente, uma rede de honeypot, ou armadilha, e viram que havia tentativas de explorar essa vulnerabilidade antes mesmo de ela ter sido anunciada publicamente. 

Para mim, mais uma vez, tudo se resume a isto: a Amazon tem as ferramentas, o capital e o conhecimento para combater essas coisas. Há tantos sites e até mesmo potenciais sites governamentais que simplesmente não têm esse nível de atenção. E, para mim, essa é realmente a parte assustadora. 

E existem [há] alguns funcionários de IA por aí que provavelmente vão levar isso para o próximo nível de apocalipse prepper, porque dá para ver como os bancos podem ser explorados e, [com] as preocupações com dados e privacidade, parece algo muito maior do que podemos consertar agora. Então, estou interessada em ver duas coisas: primeiro, quão extremo o comportamento das pessoas vai se tornar — mas também fico imaginando se algumas novas startups vão surgir como resultado disso, ou se vamos recorrer a algumas das ferramentas de código aberto [oferecidas por empresas como a Nvidia] para criar essas camadas de segurança.