OpenAI、AI で見つけた PHP の重大な脆弱性への対応を主導

OpenAI は 10 月 21 日、Web サイトの多くで使われているプログラミング言語 PHP の重大な脆弱性について、PHP の開発チームや研究者、セキュリティの会社と組んで、修正の公開までの対応を主導したと発表しました。脆弱性の 1 つは、セキュリティの会社 Calif が OpenAI の GPT-5.6 Sol を使って見つけたものです。Wiz も 2 つの脆弱性を別に見つけて報告していました。同じ日に PHP の開発チームは、2 つの脆弱性を直した版を公開しています。

要点

• 脆弱性は 2 つで、認証なしで外からプログラムを動かされるおそれがあります。
• OpenAI は、攻撃者より先に AI が見つけ、守る側が準備する時間を作れたとしています。
• 修正の公開の前に、Cloudflare などが守りの準備をし、米国の政府機関とも連携しました。
• 古い PHP の版を見分ける道具を、Codex のスキルとして公開しました。
• 重要なサービスを守る組織が Daybreak を安く使えるよう、10 億ドル分を用意するとしています。
• 同じような脆弱性の発見は、これから数か月で急に増えると見ています。

OpenAI は今回の経験をもとに、広く使われるソフトの重大な脆弱性に AI の時代に合った形で対応するための進め方の案を示しました。①開発チームが見つかった脆弱性を確かめて直す(最先端のモデルで修正をすり抜ける方法も試す)、②影響を受ける組織に準備の時間を与える、③政府と連携して重要な設備を守る、④影響を受ける製品の更新を準備する、⑤修正の公開後に案内を出して適用を支える、の 5 つの段階です。どの組織にいつ知らせるかなど、案の改善に向けてセキュリティの関係者の意見を募っています。

一方で OpenAI は、脆弱性を見つける AI の力は、攻撃者が攻撃の道具を作るのにも使えると指摘しています。セキュリティ向けの Daybreak では、悪用を防ぐための判定の仕組みを追加で調整しています。ただ、悪用を防ぐ仕組みは正当なセキュリティの仕事も止めかねず、その釣り合いを取り続けるとしています。

日本の利用者にとって

PHP の開発チームによると、直った版は 8.5.12・8.4.27・8.3.36・8.2.35 で、PHP-FPM や Apache の mod_php など、Web の要求を受けるすべての PHP が対象です。完全な回避策は無く、更新が唯一の安全な方法だとしています。国内でも、サービスの停止や緊急のメンテナンスが相次ぎました(PHPの緊急の修正を前に、国内のサービスで停止や緊急メンテナンスが相次ぐ・TECHNOVA)。PHP で動くサイトやシステムを持つ組織は、使っている版を確かめて更新してください。

YOBITSUGI AI で使えるか

これはセキュリティの対応の発表です。脆弱性の発見に使われた GPT-5.6 Sol は、現時点の対応モデルには含まれていません。YOBITSUGI AI では OpenAI の GPT-6 Astra・GPT-6.1 Sol・GPT-6 Luna などを使えます。