OpenAI、高度な AI を使用して PHP の重大な脆弱性を発見し、世界のセキュリティ機関と協力して緊急修復作業を開始すると発表

要約:

OpenAI は、2026 年 10 月 21 日に発表を行い、PHP プログラミング言語の 2 つの重大なセキュリティ脆弱性の発見と修復の調整への参加を明らかにしました。この取り組みは、OpenAI が立ち上げた「Patch the Planet」（インターネット全体にパッチを適用する）プログラムによって推進されており、ソフトウェア保守担当者、セキュリティ研究者、クラウド サービス プロバイダー、政府のネットワーク セキュリティ機関が団結して、グローバルなインターネット インフラストラクチャの脆弱性によって引き起こされるリスクを共同で軽減します。

このインシデントでは、セキュリティ会社 Calif が GPT-5.6 Sol を使用した重大なセキュリティ上の欠陥を発見し、セキュリティ会社 Wiz が関連する 2 つの脆弱性を独自に発見して報告しました。 PHP メンテナンス チームは脆弱性の修正とセキュリティ バージョンのリリースを主導する責任を負い、OpenAI、Wiz、Cloudflare およびその他のパートナーは技術調査、エンジニアリング サポート、調整を提供して、脆弱性が公開される前に関連組織が保護の準備をできるよう支援します。

PHP は、Web サイトやネットワーク アプリケーションで広く使用されているオープンソース プログラミング言語です。多くのインターネット サービスは、Web ページ要求、データベース操作、バックグラウンド ビジネス ロジックの処理にこれを利用しています。したがって、PHP の最下層に深刻な脆弱性が存在し、その影響は多くの Web サイト、クラウド サービス、エンタープライズ システムに急速に広がる可能性があります。今回発見された両方の脆弱性は重大と評価されており、攻撃者が認証なしでリモートからコードを実行する可能性がある。 PHP開発チームは10月21日に修正版をリリースし、ユーザーに直ちにアップグレードするよう呼び掛けている。

OpenAI は、この事件はネットワーク セキュリティの分野における人工知能の二重の役割を浮き彫りにしていると述べました。一方で、高度なモデルは、研究者が成熟したソフトウェアに長い間隠されていた欠陥を発見するのに役立ちます。一方で、同じ機能が攻撃者によって悪用ツールや攻撃プログラムを迅速に開発するために使用される可能性もあります。したがって、セキュリティ チームは、脆弱性が発見できるかどうかに重点を置くだけでなく、関連するパッチが適用される前に、脆弱性がタイムリーに修復され、攻撃のリスクを可能な限り軽減できるようにする効率的なメカニズムを確立する必要もあります。

OpenAI は、現時点で得ている情報によれば、この脆弱性は攻撃者が発見して悪用する前に高度な人工知能の助けを借りて発見されたと述べています。これにより、ソフトウェア保守担当者にとって貴重な防御準備時間が得られます。同社はこのフェーズを「防御者の窓」と呼んでいます。これは、攻撃者が行う前に、防御者が問題を特定し、修復計画を策定し、保護措置を導入できる時間枠です。

ただし、このウィンドウは常に存在するとは限りません。人工知能モデルの機能が向上し続けるにつれて、脆弱性の発見と攻撃手法の開発との間の時間差は徐々に短縮される可能性があります。 OpenAI は、サイバーセキュリティ業界は、これまでの比較的分散型の脆弱性処理アプローチから、ソフトウェア保守者、サービスプロバイダー、企業運営者、政府機関を迅速に調整できる体系的な対応メカニズムに移行する必要があると考えています。

この目的を達成するために、OpenAI は重大な脆弱性に対する調整された対応フレームワークを提案しました。これには主に 5 つの段階が含まれます。

まず、ソフトウェア保守者、研究者、主要なテクノロジー パートナーが協力して脆弱性を検証し、その範囲を評価し、修正プログラムを開発してテストする必要があります。この段階では、チームは高度なモデルを使用して敵対的テストを実施し、パッチが実際に攻撃を防止できるかどうかを確認し、表面的な問題のみを修正して他の悪用可能なパスを見逃さないように、関連する可能性のある脆弱性の亜種を探す必要もあります。

第二に、影響を受ける組織には十分な準備時間を与える必要があります。組織によって保護タスクは異なります。ソフトウェア発行者はパッチを古いバージョンに移植する必要がある場合があり、クラウド ホスティング サービス プロバイダーは一時的な緩和策を検証する必要があり、ネットワーク セキュリティ会社は検出ルールや Web アプリケーション ファイアウォール (WAF) 保護戦略を事前に準備する必要がある場合があります。 OpenAIは、必要な技術情報は各参加者の実際の保護責任に基づいて段階的に提供されるべきであり、情報共有協定や専門的な調整メカニズムを通じて漏洩のリスクを軽減すべきであると提案した。

第三に、重要なインフラストラクチャの運営者がアラートと保護に関する推奨事項をタイムリーに受け取れるようにするには、政府のサイバーセキュリティ機関との協力が必要です。 PHP の脆弱性インシデントでは、OpenAI とそのパートナーは、ホワイトハウス超情報特別委員会、国家サイバー局長室、サイバーセキュリティ・インフラストラクチャー・セキュリティー庁 (CISA) を含む複数の米国政府部門およびサイバーセキュリティ機関に連絡し、国際パートナーと調整しました。

第 4 に、修正計画と公開計画が安定した後、より多くのソフトウェア発行者、クラウド サービス プロバイダー、ホスティング サービス プロバイダー、および企業セキュリティ チームが事前にアップデートを準備できるように、参加範囲を拡大する必要があります。依然として古いバージョンのソフトウェアを使用しており、最新のパッチを直接インストールできない組織の場合は、パッチのロールバックやその他の一時的な保護手段の実現可能性を評価する必要もあります。

第 5 に、パッチが正式にリリースされた後は、システムが影響を受けるかどうか、どのバージョンをインストールする必要があるか、修復が有効かどうかを確認する方法をユーザーが確認できるように、明確な修復ガイドラインを一般に提供する必要があります。パッチがリリースされても、対応プロセス全体がすぐに終了するわけではありません。また、セキュリティ チームは展開を追跡し続け、更新がまだ完了していない組織が実際の問題に対処できるよう支援する必要もあります。

OpenAI は、脆弱性情報を事前に共有する際に明らかなジレンマがあることを特に指摘しました。一方で、クラウド サービス プロバイダー、ネットワーク セキュリティ ベンダー、および重要なインフラストラクチャのオペレーターは、保護対策を効果的に準備するために十分な技術的な詳細を必要としています。一方で、限られた脆弱性情報であっても、攻撃者が欠陥の特定の場所を推測するのに役立つ可能性があります。したがって、関連情報は、参加者の保護責任、必要な準備時間、機密情報の取り扱い能力に基づいて段階的に提供される必要があります。

実際に脆弱性の悪用が始まった場合、技術的な詳細が誤って漏洩した場合、またはパブリック パッチ自体が脆弱性の場所を公開した場合にも、当初の公開スケジュールを再評価する必要があります。 OpenAI は、調整メカニズムは、固定された期限に機械的に従うのではなく、脅威の変化に応じて迅速に調整できなければならないと考えています。

より多くの組織が行動を起こすのを支援するために、OpenAI は、PHP バージョン チェック ツールを提供し、システム オペレーターが潜在的に危険な PHP バージョンを特定し、公式の PHP およびサービス プロバイダーのガイドラインに基づいて適用可能な更新計画を決定できるよう支援する Codex スキルのサポートを開始する予定であると述べました。 OpenAI はまた、「Patch the Planet」プロジェクトを通じて脆弱性の公開情報と保護ガイドを集約し、管理者が信頼できるパッチを見つけたり、一時的な軽減策を理解したり、アップデートが実際に展開されているかどうかを確認したりできるようにします。

リソース サポートの点で、OpenAI は、セキュリティ リソースが限られているものの重要なサービス保護タスクを担当する組織を支援することに重点を置き、「Daybreak for Frontline Defenders」プログラムを通じて 10 億米ドル相当の Daybreak サービス アクセスへの補助金を提供することを約束しています。同社はまた、Codex for OSSを通じてオープンソースソフトウェアの保守者にサブスクリプションサポートを提供し、Rust Foundationなどのプロジェクトを直接後援して保守作業や技術改善のためのリソースを提供する予定だ。

OpenAI は、オープンソース ソフトウェア プロジェクトの保守チームの規模が限られていることが多いと指摘しました。日々の開発作業に加えて、セキュリティ レポートの処理、脆弱性の影響の判断、パッチの検証、および複数のソフトウェア バージョンとの互換性も必要です。これらのタスクには時間がかかりますが、人工知能はコードの分析、重複レポートの特定、テストの作成、修正の検証を支援して、保守者の作業負荷を軽減します。

OpenAI は、個々の脆弱性を発見して修正するだけでなく、ソフトウェアの設計段階からセキュリティ上の欠陥を削減する必要があると提案しています。同社は、エンジニアがより安全なデフォルトを選択し、セキュリティ ライブラリを正しく使用し、開発プロセスの早い段階で危険なコード パターンを検出するのに AI が役立つと考えています。

もう 1 つの重要な方向性は、主要なソフトウェア コンポーネントをメモリセーフな言語に移行することです。多くの重大な脆弱性は、すでに解放されているメモリへのアクセスやバッファの範囲外の発生など、メモリ管理エラーによって発生します。メモリの安全性が保証された言語を使用すると、大規模な一般的な欠陥をその原因から排除できます。人工知能はコードの移行を支援できますが、移行後の動作、互換性、セキュリティについては、依然としてテストと専門的なレビューが必要です。

OpenAI は、形式的な検証とより強力な分離メカニズムも重視しています。形式的検証では、数学的手法を使用して、プログラムが明示的な仮定の下で特定のセキュリティ特性を満たしていることを証明し、主要コンポーネントの信頼性の向上に役立ちます。サンドボックス テクノロジは、信頼できないファイル、画像、メディア コンテンツを処理するソフトウェアを制御された環境に制限できます。たとえプログラムが侵害されたとしても、攻撃者がシステム全体をさらに制御する機会を減らすことができます。

同時に、同社は、サイバーセキュリティにおける人工知能の使用を拡大するには、より高度な不正行為防止対策も必要になることを認めています。 OpenAI は、ツールが悪意のある攻撃に使用されるリスクを軽減するために、Daybreak のセキュリティ分類子をさらに調整しています。しかし同社は、制限が厳しすぎると正当なセキュリティ研究が妨げられる可能性があるため、防御能力の開放と悪意のある利用の防止との間でバランスを取る必要があると述べた。

OpenAI は最終的に、ソフトウェア保守者、研究者、ネットワーク セキュリティ サービス プロバイダー、企業運営者に対し、このフレームワークを改善するために協力するよう呼びかけています。同社は、次のようないくつかの問題に焦点を当てたいと考えています。脆弱性が公になる前に、防御者が準備するためにどのくらいの時間を与えるべきか。重大な脆弱性を事前に開示できる場合。どの組織に事前に通知する必要があるか。そして、古いバージョンのソフトウェアを適時にアップグレードできない場合に、ロールバック パッチとセキュリティ代替手段を確実に提供する方法についても説明します。

OpenAI は、さらに物議を醸す将来のシナリオも提案しました。それは、インターネット システムが継続的な脆弱性スキャン メカニズムを徐々に確立し、既知の脆弱性が発見されたときに Web サイト所有者に通知し、さらには適切な承認を得てシステムに直接パッチを適用する可能性があるというものです。ただし、このタイプのアプローチには、システムの所有権、管理権限、誤操作のリスク、および責任の境界が含まれるため、厳密な技術的保証とガバナンス保証を確立する必要があります。

この PHP 脆弱性インシデントは、人工知能がネットワーク セキュリティの仕組みを変えつつあることを示しています。これまでは、重大な脆弱性の発見、分析、修復、大規模な展開には、複数のチーム間の長期にわたる調整が必要になることがよくありました。現在、高度なモデルにより脆弱性調査を迅速化できますが、インターネットを真に保護できるかどうかは、依然としてソフトウェア保守者、クラウド サービス プロバイダー、企業、政府機関が迅速に行動できるかどうかにかかっています。

OpenAI にとって、「Patch the Planet」は PHP の脆弱性に対する緊急対応であるだけでなく、人工知能時代における調整された脆弱性開示メカニズムを探求する演習でもあります。セキュリティ上の欠陥を発見する人工知能の能力が向上し続けるにつれて、将来のサイバーセキュリティ競争の鍵は、もはや脆弱性を最初に発見することだけではなく、誰がより早く問題を検証し、コードを修正し、影響を受ける世界中のシステムをタイムリーに保護できるかということになるかもしれません。

関連記事:

PHP に重大なセキュリティ脆弱性が暴露され、世界中の Web サイト運営者が緊急にパッチ適用状態に入っています

2 つの深刻な脆弱性により、サーバー上でリモート コードが実行される可能性があります PHP 公式緊急セキュリティ パッチ