Vještačka inteligencija ubrzava pronalaženje potencijalnih grešaka, ali ne znači da će svaka prijava biti tačna, niti da se svaka greška može jednostavno otkloniti.
Zbog ozbiljnog bezbjednosnog propusta, prošle sedmice privremeno su ugašeni pojedini državni sajtovi u Njemačkoj, Francuskoj, Belgiji, Holandiji, Finskoj i Češkoj.
Američka Nacionalna bezbjednosna agencija (NSA) i tim Evropske unije za odgovor na računarske incidente (CERT-EU) preporučili su da se sistemi koji ne mogu odmah da budu zaštićeni privremeno isključe sa interneta.
Uzrok je bila greška u PHP-u, programskom jeziku na kojem radi veliki dio interneta. Prema podacima W3Techsa, koristi ga gotovo sedam od deset sajtova za koje je poznato kojim su programskim jezikom napravljeni. Na PHP-u se zasnivaju i popularne platforme poput WordPressa, kao i softver koji koristi Vikipedija. Zbog novootkrivenih propusta, i Fondacija Vikimedija privremeno je isključila pojedine sisteme.
Ono što ovaj slučaj čini posebno zanimljivim jeste način na koji je problem otkriven.
Istraživači su uz pomoć vještačke inteligencije uspeli da pronađu i ispitaju ozbiljne slabosti koje su godinama promicale stručnjacima. Time su oni koji štite sisteme dobili priliku da reaguju prije napadača. Međutim, propusti u pripremi i objavljivanju bezbjednosnih ispravki pokazali su koliko se ta prednost brzo može izgubiti.
Greška je postojala u sistemu godinama
PHP je programski jezik koji omogućava da sajtovi obavljaju različite funkcije, od prijavljivanja korisnika i pretraživanja sadržaja do pristupa bazama podataka. Za razliku od onoga što korisnik vidi na ekranu, veliki dio njegovog posla odvija se u pozadini, na serveru.
Problem nastaje kada se ozbiljna greška nalazi u samom programskom jeziku, a ne u pojedinačnom sajtu. U takvoj situaciji mogu biti ugroženi i sistemi čiji su vlasnici poštovali sva pravila i vodili računa o bezbjednosti.
U ovom slučaju otkrivene su dvije kritične ranjivosti koje su, pod određenim uslovima, omogućavale napadačima da bez lozinke izvršavaju komande na serveru. To je moglo da dovede do preuzimanja kontrole nad sistemom, krađe podataka ili prekida rada servisa. Hitne bezbjednosne ispravke za ove programe objavljene su 21. oktobra.
Prema navodima kompanije Wiz, koja je učestvovala u istraživanju, problematični dijelovi programskog koda postojali su duže od deset godina.
Još zanimljivije je to što su programeri PHP-a prve naznake jednog od problema uočili još 2024. godine. Međutim, tada nisu uspjeli da utvrde kako bi neko mogao da ga iskoristi za stvarni napad. Razmatrano je više načina da se greška otkloni, ali je svako rješenje nosilo određene rizike, pa se donošenje odluke odužilo.
PHP Foundation, neprofitna organizacija koja podržava razvoj ovog programskog jezika, priznala je da je kašnjenje bilo posljedica problema u načinu odlučivanja, ali i nedostatka ljudi i sredstava.
Situacija se promijenila u avgustu 2026. godine, kada su istraživači, koristeći modele vještačke inteligencije kompanija OpenAI i Google, pokazali kako se postojeće slabosti mogu iskoristiti za napad.
Kompanija Wiz tvrdi da je jedan njen istraživač, uz pomoć vještačke inteligencije, za nedjelju dana uspio da uradi ono za šta bi ranije timu vrhunskih stručnjaka bili potrebni mjeseci. To je procjena same kompanije, koju nije moguće nezavisno potvrditi, ali dobro pokazuje koliko se brzo mijenjaju mogućnosti za pronalaženje bezbjednosnih propusta.
Vještačka inteligencija tako nije samo pomogla da se pronađe greška, nego i da se vidi kako je moguće iskoristiti ove propuste.
To baš pojačava važnost sajber bezbjednosti, tako da alati koji stručnjacima omogućavaju da brže otkrivaju ranjivosti mogu pomoći i napadačima da ih pronađu i iskoriste.
Kada su istraživači u avgustu prijavili otkrivene propuste, dogovoreno je da detalji ostanu poverljivi dok ne budu spremne bezbjednosne ispravke. Takav postupak je uobičajen u sajber bezbjednosti. Cilj je da proizvođači softvera i vlasnici sistema dobiju dovoljno vremena da otklone problem prije nego što informacije o njemu postanu dostupne napadačima.
Međutim, ovog puta plan nije sproveden do kraja.
Dan prije objavljivanja ispravki, na internetu su se pojavile prve informacije o ranjivostima. Iste večeri jedna od kompanija koje su učestvovale u istraživanju greškom je objavila snimak na kojem je prikazano kako se propust može iskoristiti za napad.
Iako je snimak brzo uklonjen, već je bio preuzet i počeo je da se širi internetom. Prema navodima PHP Foundation, to je ubrzalo razvoj alata za iskorišćavanje ranjivosti.
Problemi se tu nisu završili. Sljedećeg jutra druga kompanija je, mimo dogovorenog rasporeda, objavila verziju softvera koja je već sadržala ispravke. Na taj način napadači su dobili dodatnu mogućnost da proučavanjem izmjena otkriju gdje se tačno nalazio problem, dok veliki broj korisnika još nije mogao da instalira zvanično ažuriranje.
Ispostavilo se, međutim, da su pokušaji napada počeli i prije toga.
Amazon je saopštio da je u svojim sistemima za praćenje zlonamjernih aktivnosti zabilježio pokušaj iskorišćavanja ranjivosti još 17. oktobra, četiri dana prije zvanične objave. Riječ je o posebno pripremljenim sistemima koji služe kao mamac za napadače, kako bi bezbjednosni stručnjaci mogli da proučavaju njihove metode.
Nije poznato da li bi taj prvi pokušaj uspio na stvarnom sajtu. Ipak, nakon objavljivanja informacija o ranjivostima, bezbjednosne kompanije počele su da beleže nagli rast pokušaja napada.
Ovaj slijed događaja pokazuje da otkrivanje greške i njeno otklanjanje nisu isto. Vještačka inteligencija pomogla je stručnjacima da pronađu problem koji je godinama ostao neprimijećen, ali je sve što je uslijedilo ponovo zavisilo od ljudi, njihovih odluka i sposobnosti da se međusobno dogovore.
Tehnologija napreduje brže od sistema koji treba da je štite
Problem je nastao na ovolikoj a to je da veliki dio interneta oslanja se na softver čiju bezbjednost održava relativno mali broj ljudi.
Na održavanju i zaštiti PHP-a radi manji tim stručnjaka, među kojima su zaposleni koje finansira fondacija i volonteri. Istovremeno, zahvaljujući razvoju vještačke inteligencije, broj prijavljenih ranjivosti naglo raste.
Od početka jula, prema podacima PHP Foundation, bezbjednosni tim je obradio više od sto prijava za koje se ispostavilo da su netačne, da se ponavljaju ili da prijavljeni problem nije moguće potvrditi.
Vještačka inteligencija, dakle, ubrzava pronalaženje potencijalnih grešaka, ali ne znači da će svaka prijava biti tačna, niti da se svaka greška može jednostavno otkloniti.
Za takve poslove su i dalje potrebni iskusni programeri, vrijeme, novac i dobro organizovan proces odlučivanja.
Zbog toga PHP Foundation sada poziva kompanije i države čije usluge zavise od ovog programskog jezika da dugoročno finansiraju njegovu bezbjednost.
Ovo pitanje prevazilazi sam PHP. Kako modeli vještačke inteligencije postaju sve sposobniji, razmak između otkrivanja bezbjednosnog propusta i trenutka kada neko može da ga iskoristi postaje sve kraći.Institucije i kompanije zato više ne mogu da računaju na to da će imati nedjelje ili mjesece da reaguju. U pojedinim slučajevima presudni mogu biti sati.