Uma falha em uma linguagem de programação usada por grande parte da web provocou uma corrida de 72 horas entre agências de cibersegurança de todo o mundo. A falha foi encontrada com ferramentas de inteligência artificial, em um processo coordenado pela OpenAI.

A divulgação antecipada das informações sobre o problema no PHP foi feita por uma empresa de cibersegurança na quarta-feira. Com isso, parte da web ficou exposta a hackers. Agências da Europa, dos Estados Unidos, do Reino Unido, da Austrália e do Canadá emitiram alertas urgentes. Vários governos tiraram sites do ar como precaução.

Até o momento, não havia sinais de grandes danos causados por invasões. Ainda assim, o episódio mostrou como os procedimentos de segurança podem falhar e como os riscos cibernéticos ganham peso na era da inteligência artificial. O CEO da Chainguard, Dan Lorenc, pediu desculpas em uma publicação no LinkedIn. Depois, afirmou à POLITICO que agiu porque a falha já estava sendo explorada. Outras pessoas contestaram essa versão.

Contexto

Em abril, a Anthropic apresentou o Mythos, modelo que levou parte do setor a temer ataques em larga escala. Nos meses seguintes, pesquisadores encontraram novas falhas, mas sem impacto relevante no mundo real. A situação mudou com o problema no PHP, linguagem estimada em cerca de 70% da web.

O processo normal previa a divulgação coordenada: a falha é corrigida e a solução é compartilhada com órgãos e empresas antes do anúncio público. Segundo a PHP Foundation, a Chainguard rompeu o embargo unilateralmente, o que desconsiderou semanas de trabalho de várias partes. A fundação disse estar decepcionada, mas espera retomar a confiança na empresa.

A Cloudflare afirmou ter registrado milhões de tentativas de explorar a falha. A Amazon disse que o problema estava sendo amplamente explorado. Autoridades dos Estados Unidos relataram sobrecarga, já que, no mesmo dia, também lidavam com falhas no node.js, Fortinet, GitHub e Oracle.

O que ainda não se sabe

Autoridades da Alemanha disseram não ter registrado uso bem-sucedido da falha por hackers, e que ela parece mais difícil de explorar do que se esperava. A OpenAI afirmou que há outras vulnerabilidades graves em correção e que espera mais descobertas nos próximos meses. A recomendação das agências é aplicar a correção já divulgada pela PHP Foundation.