OpenAI heeft de afgelopen twee maanden een coalitie geleid die kritieke kwetsbaarheden in PHP aanpakte. Een van de lekken werd gevonden met een OpenAI-model. Het bedrijf stelt nu een werkwijze voor om zulke ontdekkingen door AI voortaan sneller en veiliger af te handelen.
Door AI gevonden, vóór aanvallers
Beveiligingsbedrijf Calif vond een kritieke fout in PHP met GPT-5.6 Sol, als onderdeel van OpenAI’s programma Patch the Planet. Wiz ontdekte en meldde beide kwetsbaarheden onafhankelijk daarvan. De maintainers van PHP leidden het herstel en de release. OpenAI, Wiz, Cloudflare en anderen leverden onderzoek, technische hulp en coördinatie, zodat beschermingsmaatregelen klaarstonden voordat de lekken openbaar werden.
Volgens OpenAI vonden AI-modellen deze kwetsbaarheden eerder dan aanvallers, waardoor verdedigers tijd kregen om zich voor te bereiden. Het bedrijf noemt het een van de meest ingrijpende beveiligingsproblemen van de laatste tijd en verwacht dat het aantal vergelijkbare vondsten de komende maanden sterk toeneemt. Voor beheerders deelt OpenAI een versiecontrole voor PHP als Codex-skill.
Een draaiboek in vijf fasen
OpenAI stelt een werkwijze in vijf fasen voor: het lek bevestigen en upstream repareren, getroffen organisaties tijd geven om te handelen, samenwerken met overheden om kritieke systemen te beschermen, updates voorbereiden voor alle getroffen producten, en na de patch publieke richtlijnen publiceren. Bij het repareren horen ook aanvallende tests met frontiermodellen, om te zoeken naar manieren om de patch te omzeilen en naar varianten van het lek.
Bij de PHP-lekken werkte OpenAI samen met onder meer de Amerikaanse cyberagentschappen ONCD en CISA. Het bedrijf vraagt de beveiligingsgemeenschap om feedback, bijvoorbeeld over hoe lang maintainers nodig hebben en wie vooraf gewaarschuwd moet worden.
Steun voor verdedigers
OpenAI heeft 1 miljard dollar toegezegd aan gesubsidieerde toegang tot Daybreak voor organisaties met weinig beveiligingscapaciteit die essentiële diensten beschermen. Maintainers krijgen een abonnement via Codex for OSS. Tegelijk stelt OpenAI extra filters af tegen misbruik, en erkent het bedrijf dat zulke beveiligingen ook legitiem beveiligingswerk kunnen blokkeren.
Meer achtergrond: ChatGPT op AI Update.