AI จาก OpenAI และ Google พบช่องโหว่ PHP ร้ายแรง กระทบเว็บล้านแห่ง

โมเดล AI รุ่นล่าสุดจาก OpenAI และ Google ตรวจพบช่องโหว่ระดับวิกฤตใน PHP ซึ่งอาจส่งผลกระทบต่อเว็บไซต์หลายล้านแห่งทั่วโลก นับเป็นก้าวสำคัญของการใช้ปัญญาประดิษฐ์ในงานด้านความปลอดภัยไซเบอร์

โมเดล GPT-5.6 Sol ค้นพบร่องรอยช่องโหว่ดังกล่าวภายใต้โครงการ Patch-the-Planet initiative โดย OpenAI ระบุว่านี่เป็นหนึ่งในประเด็นด้านความปลอดภัยที่ส่งผลกระทบรุนแรงที่สุดในรอบหลายปี การค้นพบโดย AI ครั้งนี้ช่วยให้นักพัฒนาและผู้ให้บริการความปลอดภัยมีเวลาเตรียมการก่อนถูกโจมตีจริง โดยปัจจุบันมีการเผยแพร่ เครื่องมือบน GitHub เพื่อให้ผู้ดูแลเซิร์ฟเวอร์ตรวจสอบความเสี่ยงของ PHP เวอร์ชันที่ใช้งานอยู่ได้ทันที

ในขณะเดียวกัน Wiz บริษัทด้านความปลอดภัยชั้นนำได้เปิดเผยว่า Wiz พบ ช่องโหว่เดียวกันนี้ผ่านการตรวจสอบอิสระ โดยใช้แพลตฟอร์ม Wiz Atlas ทำงานร่วมกับ Gemini 4 Argon ของ Google และ GPT-5.6 Sol ของ OpenAI ซึ่ง Wiz ยืนยันว่า Gemini 4 Argon มีประสิทธิภาพสูงมากในการช่วยค้นหาช่องโหว่ พัฒนาชุดคำสั่งโจมตี (exploit) สร้างระบบตรวจจับ และตรวจสอบความถูกต้องของแพตช์ (patch)

AI ช่วยลดอุปสรรคสำหรับผู้โจมตี

Wiz ให้ข้อมูลเพิ่มเติมว่า ในอดีตการสร้าง exploit สำหรับ PHP แต่ละเวอร์ชันต้องใช้ความพยายามสูงมากในการปรับแต่งตามการตั้งค่าที่ต่างกัน แต่ Large language models ได้เข้ามาทลายกำแพงนี้ เนื่องจาก AI สามารถปรับแต่งโค้ดโจมตีให้เข้ากับ PHP เวอร์ชันต่างๆ การตั้งค่าเซิร์ฟเวอร์ และ memory layouts ได้โดยอัตโนมัติ ส่งผลให้ช่องโหว่ที่เคยนำมาใช้จริงได้ยาก กลายเป็นเป้าหมายที่ทำได้ง่ายและขยายขอบเขตการโจมตีได้กว้างขึ้น

สำหรับการแก้ไขช่องโหว่นี้มีการประสานงานร่วมกันนานกว่าสองเดือนผ่าน 5 ขั้นตอนสำคัญ ครอบคลุมทั้งทีมนักพัฒนา PHP, Wiz, Cloudflare รวมถึงหน่วยงานรัฐบาลสหรัฐฯ อย่าง CISA และทำเนียบขาว โดย OpenAI หวังว่าความสำเร็จนี้จะเป็นกรอบการทำงานต้นแบบสำหรับการค้นหาช่องโหว่ด้านความปลอดภัยด้วย AI ในอนาคต

อย่างไรก็ตาม แม้ผู้เชี่ยวชาญจะคาดการณ์ว่าการค้นพบช่องโหว่สำคัญอย่าง PHP2Shell จะเพิ่มขึ้นอย่างรวดเร็วในอีกไม่กี่เดือนข้างหน้า แต่ก็ได้ออกคำเตือนว่าขีดความสามารถเดียวกันนี้อาจกลายเป็นดาบสองคมที่ช่วยให้ผู้โจมตีทำงานได้มีประสิทธิภาพขึ้นเช่นกัน ประเด็นนี้จึงนำไปสู่ การโต้เถียงที่ดำเนินมาหลายเดือน เกี่ยวกับความเหมาะสมในการพัฒนาขีดความสามารถด้านความปลอดภัยไซเบอร์ของโมเดล AI ทั้งในเชิงรุกและเชิงรับ