„Black October”: az internet egy részét talán soha nem látjuk viszont
Az elmúlt hetekben furcsa posztok szaporodtak el az X-en. Mesterséges intelligenciával foglalkozó cégek munkatársai arra biztatták a követőiket, hogy vegyék ki a pénzüket a bankból, vásároljanak tartós élelmiszert, halmozzanak fel vizet, és szerezzenek be kézzel tekerhető rádiót. A brit kormány is ezt tanácsolja a lakosságnak.
Matthew Green, a Johns Hopkins Egyetem professzora, a világ egyik legelismertebb kriptográfusa azt írta, hogy
az egész internet száraz tűzifa, amely csak azért nem ég még, mert a kamaszok nem találták meg a gyufát.
Október 22-én a brit kormány is megszólalt, és háromévesre tervezett kampányt indított „Be Ready”, vagyis „Légy készen” néven.
A kormány hivatalos kampányoldala javaslata, hogy minden háztartásban legyen annyi tartalék, amennyivel három napot ki lehet húzni áram, víz, fűtés és telefon nélkül. Fejenként és naponta három liter palackozott ivóvizet kérnek, a főzéshez és mosakodáshoz ezen felül is, valamint olyan tartós élelmiszert, amelyet sem hűteni, sem főzni nem kell: konzervet, aszalt gyümölcsöt, diófélét.
A listán szerepel zseblámpa tartalékelemekkel, mert az biztonságosabb a gyertyánál, takaró és hálózsák arra az esetre, ha leáll a fűtés, továbbá
elemes vagy tekerős FM-rádió, amelyhez érdemes papírra felírni a hírcsatornák frekvenciáját.
Kell feltöltött külső akkumulátor a telefonhoz, és készpénz érmékben és bankjegyekben is, mert a kártyás fizetés és a bankautomaták is leállhatnak.
A brit kormány azt is kéri, hogy a fontos telefonszámokat írják fel papírra, a személyi okmányokról és a biztosítási iratokról legyen nyomtatott másolat, a csecsemős családok pedig a porból készülő helyett azonnal fogyasztható tápszert tartsanak otthon. Legyen bekészítve egy táska a legszükségesebbekkel, ha gyorsan el kell hagyni a lakást, és a szomszédok cseréljenek telefonszámot, hogy áramszünetkor egymásra nézhessenek. A tartalékot félévente át kell nézni.
Wes Streeting védelmi miniszter a BBC Question Time című vitaműsorában arról beszélt, hogy az AI miatt egyre könnyebb kijátszani a hagyományos védelmet, ezért a PHP-hiba okozta leálláshoz hasonló kiberincidensek gyakoribbak lesznek. Azt állítja,
Nagy-Britannia nagyobb fenyegetettséggel néz szembe, mint eddigi élete nagy részében, ha nem egészében.
Az óceán túlpartján a Pentagon arra készül, hogy a nagyobb amerikai katonai bázisok a polgári hálózattól függetlenül termeljék meg a saját áramukat arra az esetre, ha egy ellenség kibertámadással vagy szabotázzsal lekapcsolná a hálózatot.
A hónap új nevet kapott
A kiberbiztonsági szakma ennek a hónapnak már nevet is adott: Black October, vagyis fekete október. A PHP-hibák nyilvánosságra kerülése után szakemberek kezdték így emlegetni az X-en, a 404 Media október 22-i cikke pedig már ezzel a névvel írt a történtekről.
Azóta az amerikai közrádió is így hivatkozik a történtekre. Kevin Roose technológiai újságíró az NPR-ben úgy magyarázta, hogy az AI-eszközök annyira jók lettek a programozásban, hogy a programhibák felkutatásában is kiválóak: ezért zúdult rá ennyi súlyos incidens a világra néhány hét alatt.
A középpontban a PHP2Shell nevű hibapár áll, amelyről múlt héten mi is részletesen írtunk.
Röviden: a PHP az a programnyelv, amelyen a világ weboldalainak nagyjából hetven százaléka fut, a WordPress-alapú blogoktól a kormányzati portálokig. A két hibán keresztül egy támadó jelszó nélkül, távolról átveheti az irányítást egy frissítetlen szerver fölött. A hibákat két biztonsági cég kutatói találták meg augusztusban, mindkét csapat AI-modellek segítségével.
Amikor október 21-én nyilvánosságra kerültek, kormányok sora kapcsolta le elővigyázatosságból a honlapjait. Nálunk csütörtökön délutánig állt a magyarorszag.hu.
Ezrekből milliók
Matthew Prince, a Cloudflare vezérigazgatója az X-en mutatta meg, milyen tempóban mozdultak a támadók. A nyilvánosságra hozatal előtti tíz órában a cég hálózatán már ezres nagyságrendben próbálták kihasználni a hibát:
a bejelentés utáni 45 percben a kísérletek száma több tízezerre, két órán belül több százezerre ugrott, mára pedig milliós nagyságrendű kísérletet látnak.
A Chainguard nevű biztonsági cég vezetője, Dan Lorenc a LinkedInen azt írta, hogy ők is rátaláltak ugyanezekre a hibákra. Ehhez csak annyit kellett tenniük, hogy beírták egy élvonalbeli AI-modellbe:
keress súlyos sebezhetőségeket a PHP-ban.
A javítás azóta elérhető, a támadók mégsem adták fel. Október 24-én a Perplexity egyik kutatója, Adel Karimi számolt be az első megerősített esetről, amikor a hibán keresztül valóban parancsokat futtattak szándékosan csalinak kitett szervereken.
A CYFIRMA biztonsági cég szerint feltehetően egy észak-koreai, a hírhedt Lazarus-csoporthoz köthető kampány is a PHP-hibára vadászik. A támadók lassan, feltűnés nélkül pásztáznak több mint kétszáz frissítetlen gépet, többek között kormányhivataloknál, bankoknál és repülőtereken.
Száz írásjellel, ötven dollárból kijön
A fekete október jóval több egyetlen programhibánál: AI-jal vezérelt kibertámadások sora is napvilágra került. Két nappal a PHP-bejelentés előtt a Reuters egy biztonsági kutató megfigyeléseiről számolt be. Snorre Fagerland, a NorForge nevű cég kutatója véletlenül nyitva hagyott vezérlőfelületeket talált a Cairn nevű, nyílt forráskódú AI-platformhoz, és
így valós időben, mondhatni, a bűnözők válla fölött nézhette végig, mit művelnek.
A legszorgalmasabb közülük egy kínaiul író hacker volt. Szeptember 25-től amerikai, kanadai, ausztrál és japán webáruházakra küldte rá az AI-ügynökeit, az utasításai pedig száz kínai írásjelnél is rövidebbek voltak. Az ügynökök több mint 1200 weboldalt próbáltak feltörni, és több mint száz cég oldalára bejutottak, köztük a mezőgazdasági gépeiről ismert John Deere-ére.
Egy-egy sikeres betörés általában 23 órányi próbálkozásba került, az ügynökök a kínai DeepSeek és az Anthropic Claude Code nevű eszközének keverékével dolgoztak. Fagerland becslése szerint az egész akció nagyjából ötezer dollárnyi AI-használatba került, ami sikeres betörésenként körülbelül ötven dollár költséget jelent. Szerinte ez már új világ.
A Microsoft október 21-én egy kínai hátterű csoport kibertámadásáról számolt be.
A kínai állami érdekekhez igazodó Storm-0940 egy nyílt forráskódú, AI-ügynökökkel működő eszközt használt, amely önállóan végigviszi a támadást a felderítéstől az adatok kimentéséig. Egy ponton percenként 2900 bejelentkezési kísérletet indított, és több esetben három óránál is rövidebb idő telt el a célpont kiválasztása és aközött, hogy a támadók kiemelt hozzáférést szereztek egy szervezet felhőrendszeréhez.
A Microsoft így fogalmazott: az AI-ügynököket nem korlátozzák olyan tényezők, amelyek az embereket korlátozzák, éjjel-nappal, hétvégén és ünnepnapokon is fáradhatatlanul dolgoznak, és egyszerre több úton próbálnak bejutni a feltörendő rendszerekbe.
Ugyanezekben a napokban derült ki súlyos hiba a Plex nevű népszerű médiaszerver-programban, amellyel sokan otthon kezelik a film- és zenegyűjteményüket; valamint a programozók által használt GitLab-platformban; egy tanúsítványkiadó titkos digitális kulcsairól pedig kiderült, hogy annyira gyengék, hogy egy AI-modell egyetlen utasításra feltörte őket.
Minden ajtó, minden kilincs
Jason Koebler, a 404 Media társalapítója szerint az AI nem attól lett veszélyes, hogy öntudatra ébredt volna. Hasonlata szerint,
ha minden szoftver egy ajtó, az AI-jal rendkívül egyszerű lett végigpróbálni az összes kilincset, olyan épületekben is, amelyeket korábban senki sem próbált kinyitni.
Most derül ki, hogy egyes zárak könnyen nyithatók, máshol tárva-nyitva áll az ajtó, néhol pedig hatalmas lyuk tátong a falon.
Az OpenAI, amelynek modellje a PHP-hibák felfedezésében segített, maga is arra számít, hogy a hasonló felfedezések száma az elkövetkező hónapokban meredeken emelkedik. A cég közölte, hogy már több más jelentős sebezhetőséget is találtak, ezek javításán dolgoznak.
Jason Clinton, az Anthropic helyettes információbiztonsági vezetője október 22-én azt írta az X-en, hogy
bármilyen rossz volt is az elmúlt négy nap, a helyzet még sokkal rosszabb lesz, mielőtt javulna.
A cégek biztonsági vezetőit arra kérte, hogy most álljanak az igazgatótanácsuk elé, és kérjenek segítséget, de ne AI-eszközökre, hanem az alapvető biztonsági munkára: a rendszerek frissítésére, a hozzáférések szabályozására és a hálózat szegmentálására. Hozzátette: nagyjából tizennyolc hónapig ki kell tartanunk.
Az internet egy részét talán soha nem látjuk viszont. A The Atlantic arra figyelmeztetett, hogy sok régi weboldalt nem tudnak vagy nem akarnak frissíteni. Ezeket elővigyázatosságból lekapcsolhatják, vagy előbb-utóbb feltörik őket, és könnyen lehet, hogy soha nem térnek vissza. Velük együtt a világháló emlékezetének egy darabja veszhet el.
Mike Cernovich, a Trump-tábor egyik befolyásos hangja az X-en mindössze ennyit írt: „Valami közeledik. Érezni lehet.”