Kecerdasan buatan (AI) telah menemui kelemahan keselamatan kritikal dalam bahasa pengaturcaraan utama yang dipanggil PHP, menyebabkan banyak laman web ditutup pada Khamis ketika organisasi di seluruh dunia tergesa-gesa menyekat potensi penggodam.
Ketika keupayaan AI yang berkembang pesat mencetuskan kebimbangan mengenai peningkatan risiko serangan siber, berikut adalah beberapa soalan dan jawapan mengenai situasi tersebut:
Apakah itu PHP dan sejauh manakah ia digunakan secara meluas?
Dicipta pada awal 1990-an, PHP ialah bahasa pengaturcaraan komputer yang membantu mengendalikan 70 peratus laman web di seluruh dunia.
Ia merupakan “tulang belakang web”, menurut syarikat keselamatan Wiz Research, yang menyatakan bahawa ia menggunakan AI untuk menemui kerentanan yang tersembunyi dalam PHP selama lebih sedekad.
PHP, nama yang pada asalnya bermaksud Personal Home Page, mendasari platform reka bentuk web popular, bermakna kelemahan itu boleh membolehkan penggodam menceroboh pelbagai tapak, daripada kedai dalam talian hingga perkhidmatan kerajaan.
Satu penyelesaian telah dikeluarkan pada Rabu, dengan PHP Foundation memberitahu jabatan teknologi syarikat dan organisasi di seluruh dunia:
“Sekiranya anda mengendalikan PHP, anda wajib mengemaskininya sekarang.”
Perkara ini menyebabkan pelbagai aplikasi dan laman web daripada laman web polis Paris hingga penjejak tidur Pokemon terhenti beroperasi sementara pembangun berusaha melindungi kod asas mereka daripada penggodaman.
Bagaimanakah AI menemui kelemahan tersebut?
Model AI canggih, seperti daripada gergasi AS OpenAI dan Google, telah digunakan oleh Wiz dan kumpulan lain untuk merungkai titik lemah PHP pada bulan Ogos.
Perkara ini dirahsiakan sementara langkah penyelesaian dibangunkan.
OpenAI menggelar kelemahan itu sebagai “salah satu kerentanan paling berimpak dalam ingatan terkini”, sambil menambah bahawa ia “menandakan fasa baharu, di mana AI boleh menemui pepijat keselamatan yang memberi impak pada skala internet”.
Berbeza daripada Wiz, syarikat keselamatan Calif turut menemui kelemahan tersebut sebagai sebahagian daripada audit kod PHP yang dibiayai oleh OpenAI.
“Masalah dengan alatan seperti AI ialah sebaik sahaja semua maklumat berada di luar sana, orang ramai boleh menjadikannya senjata dengan sangat cepat,” kata Steve Kerrison, pensyarah kanan keselamatan siber di kampus Singapura James Cook University, kepada AFP.
“Sebab itulah semua orang bertindak dengan begitu pantas untuk bertindak balas terhadap isu ini.”
Adakah terdapat laman web yang telah digodam?
“Menutup laman web tidak semestinya bermakna ia telah digodam. Ia boleh menjadi langkah bertanggungjawab untuk melindungi sistem sementara kemaskini keselamatan dilaksanakan,” kata Dimitrios Salampasis dari Swinburne University of Technology, Australia.
Setakat ini “bukti yang dilihat oleh penyelidik keselamatan menunjukkan bahawa tiada siapa yang melakukan serangan secara aktif menggunakan teknik yang wujud itu”, kata Kerrison.
Institusi lebih besar, daripada agensi kerajaan hingga portal berita, sepatutnya dapat memulihkan laman web mereka dengan relatif pantas, namun pihak lain mungkin terus terdedah.
“Terdapat laman web, sistem dan orang di luar sana yang tidak tahu tentang perkara ini dan masih tidak akan tahu untuk hari, minggu dan bulan,” amarah Kerrison.
Ini mungkin merangkumi blog kendalian pengguna yang boleh digunakan untuk menyebarkan virus komputer, spamberita atau mengedarkan kandungan berbahaya.
Mungkinkah ada kesan-kesan lain?
Pelanggaran data boleh menjejaskan pelanggan pada masa hadapan sekiranya maklumat peribadi mereka digunakan dalam serangan “phishing“, di mana seseorang ditipu untuk mendedahkan kata laluan mereka kepada perkhidmatan dalam talian.
Sifat sistem dalam talian yang kompleks dan saling berkait, yang sering menggunakan antaramuka pihak ketiga, bermakna sesetengah kerentanan mungkin kekal walaupun selepas masalah itu dipulihkan.
Jika pihak ketiga menggunakan PHP, “maka walaupun anda telah mengemaskini sistem sendiri… anda masih tidak selamat”, kata Rahat Masood, pensyarah kanan keselamatan siber di University of New South Wales, Sydney.
Walau bagaimanapun, PHP bukanlah segalanya, langkah keselamatan siber yang kukuh mestilah merangkumi beberapa lapisan pertahanan, kata Kerrison. – AFP