Em todo o mundo, vários sites foram desativados após a inteligência artificial descobrir vulnerabilidades sérias na popular linguagem de programação PHP. Organizações em todo o mundo estão correndo para se proteger contra possíveis hackers.
À medida que as capacidades em rápida evolução da IA aumentam a preocupação com o crescimento dos ataques cibernéticos, foram fornecidas respostas a perguntas sobre a situação atual.
O que é PHP e quão amplamente ele é usado?
PHP, criado no início dos anos 90, é uma linguagem de programação que ajuda a fazer funcionar cerca de 70% dos sites mundiais. De acordo com a empresa de segurança Wiz Research, PHP serve como a «espinha dorsal da internet», e esta empresa usou IA para descobrir vulnerabilidades ocultas no PHP ao longo de mais de dez anos.
PHP, cujo nome originalmente significava Personal Home Page, é a base de plataformas populares de design web. Isso significa que as falhas encontradas podem permitir que invasores penetrem em vários recursos, incluindo serviços governamentais e lojas online.
Um patch foi lançado na quarta-feira, e o PHP Foundation recomendou enfaticamente aos departamentos técnicos de empresas e organizações em todo o mundo que atualizassem seus sistemas. Como resultado, muitos aplicativos e sites, desde o site da polícia de Paris até o rastreador de sono Pokémon, pararam de funcionar enquanto os desenvolvedores trabalhavam para proteger seu código contra invasões.
Como a IA descobriu as vulnerabilidades?
Modelos avançados de IA, como os desenvolvidos pelos gigantes americanos OpenAI e Google, foram utilizados pela Wiz e outros grupos para identificar fraquezas no PHP em agosto. Essa informação permaneceu confidencial enquanto o patch estava sendo desenvolvido.
A OpenAI classificou essas vulnerabilidades como «um dos problemas mais significativos recentemente», observando que isso «abre uma nova fase em que a IA é capaz de encontrar erros de segurança com impacto global na internet». Separadamente da Wiz, a empresa de segurança Calif descobriu essas falhas durante uma auditoria de código PHP financiada pela OpenAI.
Steve Kerrison, professor sênior de cibersegurança no campus da James Cook University em Singapura, disse à AFP: «O problema com ferramentas como a IA é que assim que toda a informação se torna pública, as pessoas podem usá-la muito rapidamente como arma». Ele acrescentou que é por isso que todos estão agindo com tanta urgência em resposta a este problema.
Os sites já foram hackeados?
Dimitrios Salampasis da Swinburne University of Technology na Austrália observou que «a desativação de sites não significa necessariamente que eles foram hackeados. Pode ser uma medida defensiva para proteger os sistemas durante a aplicação de atualizações de segurança».
Segundo Kerrison, atualmente «não há evidências de que pesquisadores de segurança tenham observado ataques ativos usando os métodos disponíveis». Grandes instituições, incluindo agências de notícias e órgãos governamentais, devem ser capazes de resolver problemas em seus sites relativamente rápido, mas alguns podem permanecer desprotegidos.
Kerrison alertou que existem sites, sistemas e pessoas que podem não saber disso por dias, semanas ou meses. Esses objetos podem incluir blogs gerenciados por usuários, que podem ser usados para disseminar vírus de computador, spam ou distribuir conteúdo malicioso.
Pode haver outras consequências?
No futuro, vazamentos de dados podem afetar clientes se suas informações pessoais forem usadas em chamadas conhecidas como ataques de «phishing», onde uma pessoa é enganada para revelar sua senha a um serviço online.
A natureza complexa e interconectada dos sistemas online, que frequentemente usam interfaces de terceiros, significa que algumas vulnerabilidades podem persistir mesmo após a correção do problema inicial. Rahat Masood, professor sênior de cibersegurança na University of New South Wales em Sydney, afirmou que se os serviços de terceiros usarem PHP, «mesmo que você mesmo corrija o problema... você ainda permanece desprotegido».
No entanto, PHP não é tudo; Kerrison enfatizou que medidas de cibersegurança robustas devem incluir várias camadas de proteção.