OpenAI annuncia l'uso dell'intelligenza artificiale avanzata per scoprire gravi vulnerabilità in PHP e unisce le forze con le agenzie di sicurezza globali per avviare operazioni di riparazione di emergenza

Riassunto:

OpenAI ha emesso un annuncio il 21 ottobre 2026, rivelando la sua partecipazione alla scoperta e al coordinamento della riparazione di due gravi vulnerabilità di sicurezza nel linguaggio di programmazione PHP. Questa azione è promossa dal programma "Patch the Planet" (patch the total Internet) lanciato da OpenAI, che unisce manutentori di software, ricercatori di sicurezza, fornitori di servizi cloud e agenzie governative per la sicurezza delle reti per ridurre congiuntamente i rischi causati dalle vulnerabilità dell'infrastruttura Internet globale.

In questo incidente, la società di sicurezza Calif ha scoperto una grave falla di sicurezza utilizzando GPT-5.6 Sol, mentre la società di sicurezza Wiz ha scoperto e segnalato in modo indipendente due vulnerabilità correlate. Il team di manutenzione PHP è responsabile della correzione delle vulnerabilità e del rilascio delle versioni di sicurezza, mentre OpenAI, Wiz, Cloudflare e altri partner forniscono ricerca tecnica, supporto tecnico e coordinamento per aiutare le organizzazioni interessate a prepararsi alla protezione prima che le vulnerabilità vengano rese pubbliche.

PHP è un linguaggio di programmazione open source ampiamente utilizzato nei siti Web e nelle applicazioni di rete. Un gran numero di servizi Internet si basa su di esso per gestire le richieste di pagine Web, le operazioni di database e la logica aziendale in background. Pertanto, esiste una grave vulnerabilità nello strato inferiore di PHP e l’impatto potrebbe diffondersi rapidamente a molti siti Web, servizi cloud e sistemi aziendali. Entrambe le vulnerabilità scoperte questa volta sono classificate come critiche e potrebbero consentire a un utente malintenzionato di eseguire codice in remoto senza autenticazione. Il team di sviluppo PHP ha rilasciato una versione corretta il 21 ottobre e invita gli utenti ad aggiornare immediatamente.

OpenAI ha affermato che questo incidente evidenzia il duplice ruolo dell'intelligenza artificiale nel campo della sicurezza della rete. Da un lato, i modelli avanzati possono aiutare i ricercatori a scoprire i difetti che sono rimasti nascosti per molto tempo nei software maturi; d'altro canto, le stesse funzionalità possono essere utilizzate anche dagli aggressori per sviluppare rapidamente strumenti di exploit e programmi di attacco. Pertanto, il team di sicurezza non può concentrarsi solo sulla possibilità di scoprire la vulnerabilità, ma deve anche stabilire un meccanismo efficiente per garantire che la vulnerabilità venga riparata in modo tempestivo e ridurre il rischio di attacco il più possibile prima che vengano implementate le patch pertinenti.

OpenAI ha dichiarato che, secondo le informazioni attualmente in suo possesso, la vulnerabilità è stata scoperta con l'aiuto di un'intelligenza artificiale avanzata prima che l'aggressore la scoprisse e la sfruttasse. Ciò fa risparmiare tempo prezioso alla preparazione della difesa per i manutentori del software. L’azienda chiama questa fase la “finestra del difensore”, ovvero la finestra di tempo durante la quale i difensori possono identificare i problemi, sviluppare piani di riparazione e implementare misure protettive prima che lo facciano gli aggressori.

Tuttavia, questa finestra non esisterà sempre. Poiché le capacità dei modelli di intelligenza artificiale continuano a migliorare, il divario temporale tra la scoperta delle vulnerabilità e lo sviluppo di metodi di attacco potrebbe gradualmente ridursi. OpenAI ritiene che il settore della sicurezza informatica debba passare da un approccio relativamente decentralizzato di gestione delle vulnerabilità del passato a un meccanismo di risposta sistematico in grado di coordinare rapidamente manutentori di software, fornitori di servizi, operatori aziendali e agenzie governative.

A tal fine, OpenAI ha proposto un quadro di risposta coordinato per le vulnerabilità gravi, che comprende principalmente cinque fasi.

In primo luogo, i manutentori del software, i ricercatori e i principali partner tecnologici devono collaborare per verificare le vulnerabilità, valutarne la portata e sviluppare e testare soluzioni. In questa fase, il team dovrebbe anche utilizzare modelli avanzati per condurre test contraddittori per verificare se la patch può effettivamente prevenire l’attacco e cercare possibili varianti di vulnerabilità rilevanti per evitare di risolvere solo problemi superficiali ma di perdere altri percorsi sfruttabili.

In secondo luogo, alle organizzazioni interessate dovrebbe essere concesso un tempo di preparazione sufficiente. Diverse organizzazioni hanno compiti di protezione diversi: gli editori di software potrebbero dover trasferire le patch a versioni precedenti, i fornitori di servizi di cloud hosting devono verificare misure di mitigazione temporanee e le società di sicurezza di rete potrebbero dover preparare in anticipo regole di rilevamento o strategie di protezione Web Application Firewall (WAF). OpenAI ha proposto che le informazioni tecniche necessarie siano fornite in più fasi in base alle effettive responsabilità di protezione di ciascun partecipante e che il rischio di fuga di informazioni venga ridotto attraverso accordi di condivisione delle informazioni e meccanismi di coordinamento specializzati.

In terzo luogo, è necessaria la cooperazione con le agenzie governative di sicurezza informatica per garantire che gli operatori delle infrastrutture critiche ricevano avvisi tempestivi e raccomandazioni di protezione. Nell’incidente relativo alla vulnerabilità PHP, OpenAI e i suoi partner hanno contattato diversi dipartimenti governativi e agenzie di sicurezza informatica degli Stati Uniti, tra cui la Super Intelligence Task Force della Casa Bianca, l’Ufficio del Direttore informatico nazionale e la Cybersecurity and Infrastructure Security Agency (CISA), e si sono coordinati con i partner internazionali.

In quarto luogo, una volta stabilizzati il ​​piano di correzione e il piano di divulgazione pubblica, l'ambito della partecipazione dovrebbe essere ampliato per consentire a un numero maggiore di editori di software, fornitori di servizi cloud, fornitori di servizi di hosting e team di sicurezza aziendale di preparare gli aggiornamenti in anticipo. Le organizzazioni che utilizzano ancora versioni precedenti del software e non possono installare direttamente le patch più recenti devono anche valutare la fattibilità del rollback delle patch o di altre misure protettive temporanee.

Quinto, dopo il rilascio ufficiale della patch, dovrebbero essere fornite al pubblico chiare linee guida di riparazione per aiutare gli utenti a confermare se i loro sistemi sono interessati, quale versione dovrebbe essere installata e come verificare se la riparazione è efficace. L'intero processo di risposta non termina immediatamente al rilascio della patch. Il team di sicurezza deve inoltre continuare a monitorare l'implementazione e aiutare le organizzazioni che non hanno ancora completato l'aggiornamento a gestire i problemi reali.

OpenAI ha sottolineato specificamente che esistono ovvi dilemmi nella condivisione anticipata delle informazioni sulle vulnerabilità. Da un lato, i fornitori di servizi cloud, i fornitori di sicurezza di rete e gli operatori di infrastrutture critiche necessitano di dettagli tecnici sufficienti per preparare efficacemente misure di protezione; d'altro canto, anche informazioni limitate sulla vulnerabilità possono aiutare gli aggressori a dedurre la posizione specifica del difetto. Pertanto, le informazioni pertinenti dovrebbero essere fornite in più fasi in base alle responsabilità di protezione dei partecipanti, ai tempi di preparazione necessari e alla capacità di gestire informazioni sensibili.

Il programma di divulgazione originale dovrebbe essere rivalutato anche se inizia lo sfruttamento effettivo della vulnerabilità, vengono divulgati accidentalmente dettagli tecnici o la patch pubblica stessa rivela la posizione della vulnerabilità. OpenAI ritiene che i meccanismi di coordinamento debbano essere in grado di adattarsi rapidamente al cambiamento delle minacce, piuttosto che seguire meccanicamente scadenze fisse.

Per aiutare più organizzazioni ad agire, OpenAI ha dichiarato che fornirà strumenti di controllo della versione di PHP e prevede di lanciare competenze Codex di supporto per assistere gli operatori di sistema nell'identificare versioni PHP potenzialmente rischiose e determinare piani di aggiornamento applicabili basati sulle linee guida ufficiali di PHP e dei fornitori di servizi. OpenAI aggrega inoltre informazioni sulla divulgazione delle vulnerabilità e guide sulla protezione attraverso il progetto "Patch the Planet" per aiutare gli amministratori a trovare patch autorevoli, comprendere le misure di mitigazione temporanee e verificare se gli aggiornamenti vengono effettivamente distribuiti.

In termini di supporto delle risorse, OpenAI promette di fornire un accesso sovvenzionato al servizio Daybreak per un valore di 1 miliardo di dollari attraverso il programma "Daybreak for Frontline Defenders", concentrandosi sull'aiutare le organizzazioni con risorse di sicurezza limitate ma responsabili di attività critiche di protezione dei servizi. L'azienda fornirà inoltre supporto per l'abbonamento ai manutentori di software open source attraverso Codex for OSS e sponsorizzerà direttamente progetti come la Rust Foundation per fornire risorse per lavori di manutenzione e miglioramenti tecnici.

OpenAI ha sottolineato che i team di manutenzione dei progetti software open source sono spesso di dimensioni limitate. Oltre al lavoro quotidiano di sviluppo, devono anche gestire report sulla sicurezza, determinare l'impatto delle vulnerabilità, verificare le patch ed essere compatibili con più versioni del software. Queste attività richiedono molto tempo e l’intelligenza artificiale può aiutare ad analizzare il codice, identificare report duplicati, scrivere test e verificare le correzioni, riducendo così il carico di lavoro dei manutentori.

Oltre a scoprire e correggere le singole vulnerabilità, OpenAI propone anche di ridurre le falle di sicurezza a partire dalla fase di progettazione del software. L’azienda ritiene che l’intelligenza artificiale possa aiutare gli ingegneri a scegliere impostazioni predefinite più sicure, utilizzare correttamente le librerie di sicurezza e rilevare modelli di codice pericolosi nelle prime fasi del processo di sviluppo.

Un'altra direzione importante è la migrazione dei componenti software chiave verso linguaggi sicuri per la memoria. Molte vulnerabilità critiche derivano da errori di gestione della memoria, come l'accesso alla memoria che è già stata liberata o eventi fuori dai limiti del buffer. L'uso di un linguaggio con garanzie di sicurezza della memoria può eliminare un'ampia classe di difetti comuni alla fonte. L'intelligenza artificiale può aiutare nella migrazione del codice, ma il comportamento, la compatibilità e la sicurezza post-migrazione richiedono ancora test e revisioni professionali.

OpenAI enfatizza anche la verifica formale e meccanismi di isolamento più forti. La verifica formale utilizza metodi matematici per dimostrare che un programma soddisfa specifiche proprietà di sicurezza in base a presupposti espliciti, contribuendo a migliorare l'affidabilità dei componenti chiave; La tecnologia sandbox può limitare il software che elabora file, immagini o contenuti multimediali non attendibili a un ambiente controllato. Anche se il programma viene compromesso, ciò può ridurre la possibilità per gli aggressori di controllare ulteriormente l'intero sistema.

Allo stesso tempo, l'azienda riconosce che l'espansione dell'uso dell'intelligenza artificiale nella sicurezza informatica richiederà anche misure antiabuso più sofisticate. OpenAI sta ulteriormente adattando il classificatore di sicurezza per Daybreak nel tentativo di ridurre il rischio che lo strumento venga utilizzato per attacchi dannosi. Tuttavia, la società ha affermato che restrizioni troppo rigide possono anche ostacolare la legittima ricerca sulla sicurezza, quindi è necessario trovare un equilibrio tra l’apertura delle capacità di difesa e la prevenzione di usi dannosi.

OpenAI invita infine i manutentori del software, i ricercatori, i fornitori di servizi di sicurezza di rete e gli operatori aziendali a lavorare insieme per migliorare questo quadro. L’azienda spera di concentrarsi su diverse questioni: quanto tempo dovrebbe essere concesso ai difensori per prepararsi prima che una vulnerabilità diventi pubblica; quando le vulnerabilità critiche possono essere divulgate in anticipo; quali organizzazioni devono essere allertate in anticipo; e come fornire in modo affidabile patch di rollback e alternative di sicurezza quando l'aggiornamento di versioni precedenti del software non può essere eseguito in modo tempestivo.

OpenAI ha anche proposto uno scenario futuro più controverso: i sistemi Internet potrebbero gradualmente istituire un meccanismo continuo di scansione delle vulnerabilità, avvisare i proprietari di siti Web quando vengono scoperte vulnerabilità note e persino applicare direttamente patch al sistema con l'autorizzazione appropriata. Tuttavia, questo tipo di approccio implica la proprietà del sistema, le autorizzazioni di gestione, i rischi di malfunzionamento e i limiti di responsabilità, oltre a dover ancora stabilire rigorose garanzie tecniche e di governance.

Questo incidente legato alla vulnerabilità PHP dimostra che l'intelligenza artificiale sta cambiando il modo in cui funziona la sicurezza della rete. In passato, la scoperta, l’analisi, la riparazione e l’implementazione su larga scala di vulnerabilità gravi spesso richiedevano un coordinamento a lungo termine tra più team; Oggi, i modelli avanzati possono accelerare la ricerca sulle vulnerabilità, ma la vera protezione di Internet dipende ancora dalla capacità di agire rapidamente da parte dei manutentori del software, dei fornitori di servizi cloud, delle imprese e delle agenzie governative.

Per OpenAI, "Patch the Planet" non è solo una risposta di emergenza alle vulnerabilità PHP, ma anche un esercizio di esplorazione di un meccanismo coordinato di divulgazione delle vulnerabilità nell'era dell'intelligenza artificiale. Poiché la capacità dell’intelligenza artificiale di scoprire falle di sicurezza continua ad aumentare, la chiave per la competizione nel campo della sicurezza informatica in futuro potrebbe non essere più solo trovare prima la vulnerabilità, ma chi può verificare il problema più velocemente, correggere il codice e proteggere i sistemi interessati in tutto il mondo in modo tempestivo.

Articoli correlati:

PHP ha messo in luce gravi vulnerabilità di sicurezza e gli operatori di siti web globali sono entrati urgentemente in uno stato di patch

Due gravi vulnerabilità possono portare all'esecuzione di codice in modalità remota sul server PHP patch di sicurezza di emergenza ufficiale