כלי AI חשפו חולשות שהסתתרו שנים בתשתיות ווב
כלי AI כמו Claude Code ו-Codex חשפו חולשות אבטחה חמורות ב-PHP, Node.js וב-Brotli, תוכנות שמניעות חלק עצום מהאינטרנט. הבאגים האלה ישבו שם שנים מבלי להתגלות, והסיפור מצדיק בדיקה של סביבות העבודה שלכם – וגם מעלה דילמה בנוגע לאחריות על פרסום מידע על פרצות.
התשתית שבבסיס האינטרנט מלאה חורים
אם אתם עובדים בפיתוח ווב, התלות שלכם ב-PHP, Node.js וב-Brotli כנראה עמוקה. עכשיו מתברר שכלים מבוססי בינה מלאכותית הצליחו לחשוף, כמעט בין לילה, חולשות אבטחה קריטיות שנשארו חבויות בתוכנה הזו במשך שנים – ולא התגלו בידי חוקרים אנושיים.
התרחיש המטריד בעולם הקוד: רבים מהבאגים האלה לא היו ידועים, והיו "רדומים". הם פשוט חיכו שהמודלים של AI יסרקו סוף סוף את מיליוני שורות הקוד וימצאו אותם. התוצאה היא מבול של אזהרות אבטחה הנוגעות לכ-70% מאתרי האינטרנט.
מה קורה כשמבקשים מ-Claude Code לפשפש במעבדה הביתית שלך?
עיתונאי ב-PCWorld החליט לבדוק את הנושא לעומק. הוא הפעיל את Claude Code ו-Codex, שני כלי AI מבית OpenAI ו-Anthropic, כדי שיסרקו את השרתים והמכשירים במעבדה הביתית שלו.
התוצאות? אם אתם חושבים שהסביבה שלכם בטוחה, אתם טועים. הוא גילה שהאפליקציות שלו חשופות ל-PHP2Shell, שחבילות על ה-Raspberry Pi שלו אינן מעודכנות, שתעודות eMudhra פגומות עדיין נחשבות אמינות ברשת ה-VPN שלו, ושסביבות הריצה של Node.js לא עודכנו בתיקוני אבטחה קריטיים.
אז מה בעצם קרה כאן? ולמה זה נפלט החוצה לפני שתוקן?
כאן הסיפור מסתבך. במכתב ל-The Guardian, הכותבים טוענים שהגילוי של באג ה-PHP בידי כלי AI הוא שימוש מצוין בטכנולוגיה. אבל הם מפנים אצבע מאשימה למישהו (כנראה אנושי) שפרסם את פרטי החולשה לציבור לפני שהיה Patch מוכן.
זהו תרחיש בלהות בעולם הסייבר: גורם זדוני יכול לנצל את פרק הזמן שבו באג ידוע אך טרם תוקן. אם ההדלפה הזו עדיין אינה אסורה בחוק, כותב המכתב, צריך לחוקק חוק שיאסור עליה.