脆弱性、１０年以上前から存在　ＡＩが解明支援―ＰＨＰ問題

【シリコンバレー時事】世界のウェブサイトの約７割を脅威にさらした、プログラミング言語「ＰＨＰ」の脆弱（ぜいじゃく）性問題。発見した企業の１社によれば、脆弱性は１０年以上前から存在していたものの、現在まで見過ごされていた。解明を支援したのは人工知能（ＡＩ）だった。

問題となった２件の脆弱性が、ＰＨＰの開発チームに相次いで報告されたのは今年８月。チームは２０２４年に行った外部監査で問題の兆候を把握していたものの、その時点で具体的な悪用方法が発見されなかったことや人員不足もあり、対応は先送りされていた。

最初にこの脆弱性を報告したセキュリティー企業カリフの研究者は、０４年に発見されたメモリーに関するバグをヒントに、同様の問題が他に存在しないかＡＩを「相棒」に調べた。利用されたのは米オープンＡＩが開発した高性能ＡＩモデル「ＧＰＴ５．６ソル」。米同業アンソロピックの「クロード・ミュトス」のような一般非公開モデルは「一切使わなかった」という。

カリフとは別に、米グーグル傘下企業ウィズのチームは、グーグルの最先端ＡＩモデル「ジェミニ４アルゴン」などを活用し脆弱性を発見。ウィズによれば、問題は「１０年以上未解決のまま対応されていなかった」という。悪用方法の実証には極めて複雑な手順が必要だったが、先端ＡＩモデルが手間を大幅に軽減した。

ＰＨＰ開発チームは今月２２日にプログラムの修正版を公開予定だったが、その２日前に脆弱性に関する情報がネット上に漏えい。チームは公開を２１日に前倒ししたが、情報を基に攻撃者が先回りし、サイバー攻撃を仕掛ける危険は残った。実際、米アマゾン・ドット・コムは１７日と２１日、攻撃の試みを検知したという。

ＡＩの登場により、サイバーセキュリティーを巡る環境は一変した。２社とは別に今回の問題を報告したオープンＡＩは「今後数カ月間で同様の発見が急増すると予想される」と警告した。