Enquanto equipes de segurança e administradores de sites corriam para corrigir falhas recém-divulgadas na linguagem de programação PHP, hackers maliciosos rapidamente tentaram explorar as vulnerabilidades em ambientes reais. Milhões de tentativas de exploração ocorreram dentro de poucas horas após a publicação das falhas, de acordo com análises da empresa de infraestrutura de internet Cloudflare — um cenário previsível diante da ampla disponibilidade de ferramentas de inteligência artificial que facilitam a ação de invasores.
Até o momento, o cenário catastrophico de tomadas de controle em massa e violações de dados não se concretizou. A Fundação PHP informou que não registrou nenhuma exploração bem-sucedida das falhas, coletivamente chamadas de PHP2Shell, e muitas supostas vulnerabilidades que circulam publicamente parecem ser ineficazes. No entanto, o papel mais interessante da inteligência artificial no meio do caos foi como modelos avançados ajudaram pesquisadores a descobrir formas práticas de explorar as vulnerabilidades, que eram conhecidas, ao menos parcialmente, há anos. Em outras palavras, a inteligência artificial transformou uma falha histórica em uma crise atual.
Pesquisadores da empresa de segurança Calif foram os primeiros a identificar as vulnerabilidades PHP2Shell e criar métodos de exploração no início de agosto — parcialmente utilizando ferramentas de inteligência artificial de ponta como parte do programa Patch the Planet da OpenAI, mas também empregando conhecimento humano especializado sobre o PHP, sua dinâmica e suas fraquezas. Alguns dos problemas subjacentes foram identificados em 2024, mas eram considerados complexos demais para exploração naquela época. Após a descoberta da Calif, pesquisadores da OpenAI e da empresa de segurança Wiz, pertencente ao Google, descobriram independentemente as falhas PHP2Shell utilizando ferramentas de inteligência artificial.
“A vulnerabilidade era conhecida pela equipe do PHP há anos, mas como não podia ser explorada por um invasor — pelo menos por um humano — não foi corrigida”, afirmou Sagi Tzadik, pesquisador de segurança da Wiz.
Nenhum software é perfeito. Sempre haverá falhas nos instrumentos digitais mais críticos e fundamentais, mas as capacidades crescentes dos modelos de inteligência artificial tornaram mais rápida a análise e a potencial exploração de vulnerabilidades. Isso pressiona ainda mais equipes de tecnologia da informação, desenvolvedores e administradores com recursos limitados a acompanhar as atualizações.
Os boletins de segurança da Microsoft incluíram um número recorde de 1.453 vulnerabilidades apenas neste mês. Enquanto isso, o Banco da América recentemente contratou 1.000 consultores para corrigir falhas descobertas pela empresa Anthropic. Pesquisadores de segurança enfatizam, contudo, que a inteligência artificial não está fazendo nada fundamentalmente novo, mas sim ampliando dinâmicas existentes de descoberta de vulnerabilidades e divulgação coordenada.
“Com certeza veremos mais dessas falhas de longa duração que existem em todas as versões do software na última década”, afirmou Jake Williams, vice-presidente de pesquisa e desenvolvimento da Hunter Strategy e ex-hacker da Agência de Segurança Nacional dos Estados Unidos. “Mas acho que existe um limite desse tipo de vulnerabilidade fácil de explorar. Não há muitas outras que tenham o alcance específico do PHP. É uma superfície de ataque bastante ampla — a maioria das outras ferramentas não é exposta à internet por projeto.”
Pesquisadores também observam que, mesmo com modelos de ponta, a maioria dos exemplos sofisticados de invasões auxiliadas por inteligência artificial ainda envolve expertise humana. Como escreveu Ryan Austin, pesquisador da Calif que primeiro descobriu as falhas no PHP: “Nenhum modelo é simplesmente capaz de descobrir ‘todos os erros’ com prompts simples. Pelo menos por enquanto.”
Em resumo, o engenheiro e pesquisador de segurança Niels Provos afirma que todos podem diminuir um pouco o pânico. “Para ser honesto, não estou muito preocupado”, disse ele, sobre a inteligência artificial encontrar um número avassalador de falhas históricas recém-exploráveis ou novas vulnerabilidades que não poderiam ser exploradas sem a inteligência artificial. “As pessoas agora têm pesquisado com inteligência artificial há mais de um ano, e foi necessária uma equipe altamente qualificada para encontrar essa. Acho que veremos se estou completamente errado, mas duvido.”
Fonte: Feed: All Latest
