เมื่อ AI ถอดสลักระเบิดเวลา! ช่องโหว่ PHP อายุ 22 ปี ที่มนุษย์ถอยหนี แต่ AI เจาะแตกใน 2 วัน

ฟังดูเหมือนพล็อตหนังไซไฟแต่นี่คือเรื่องจริงที่ทำเอาวงการความปลอดภัยไซเบอร์สะเทือนหนักมากครับ! เมื่อภัยคุกคามอินเทอร์เน็ตที่ซ่อนตัวมานานถึง 22 ปี กลับถูกปัญญาประดิษฐ์ (AI) ถอดรหัสและหาวิธีเจาะระบบสำเร็จได้ในเวลาแค่ 48 ชั่วโมงเท่านั้น

ย้อนกลับไปในเดือนกรกฎาคม ปี 2004 Stefan Esser นักวิจัยด้านความปลอดภัยเคยส่งสัญญาณเตือนเกี่ยวกับภัยเงียบในภาษา PHP ซึ่งเป็นภาษาโปรแกรมมิ่งที่เป็นรากฐานขับเคลื่อนเว็บไซต์กว่า 70% ทั่วโลก ช่องโหว่ระดับวิกฤตนี้เปิดทางให้แฮกเกอร์ทำเรื่องรุนแรงได้สารพัด ตั้งแต่แอบดูรหัสผ่าน ขโมยฐานข้อมูล ไปจนถึงยึดครองเว็บไซต์ทั้งเว็บ

แต่คำเตือนกลับถูกละเลยมาหลายทศวรรษ แม้ในปี 2020 และ 2024 จะมีการค้นพบปัญหาที่เกี่ยวข้องกัน แต่ก็ได้รับการแก้ไขเพียงแค่บางส่วนเท่านั้น คำถามคือ... ทำไมหนึ่งในภัยคุกคามที่ร้ายแรงที่สุดต่อโครงสร้างพื้นฐานของอินเทอร์เน็ต ถึงถูกปล่อยทิ้งไว้โดยไม่ได้รับการแก้ไขนานถึง 22 ปี?

คำตอบง่ายๆ คือ "มันเป็นงานถึกที่มนุษย์เกลียด" การจะคิดหาวิธีโจมตีช่องโหว่นี้จริง ต้องใช้วิธีการเขียนโค้ดที่น่าเบื่อ ซ้ำซาก และใช้เวลานานมหาศาล จนทำให้ช่องโหว่ PHP นี้ถูกมองในเชิงปฏิบัติว่า “ยากเกินกว่าจะมีใครยอมเสียเวลาเจาะ”

ทว่า AI กลับหาทางทำมันได้ในเวลาเพียง 2 วัน!

เมื่อปลายเดือนกรกฎาคม นักวิจัยจากบริษัทความปลอดภัยด้าน AI ชื่อ Calif ร่วมกับโครงการ Patch the Planet ของ OpenAI ได้ลองเบนเป้าโมเดลภาษาขนาดใหญ่ (LLM) ไปวิเคราะห์ภาษา PHP ดู โดยไม่ได้คาดหวังว่าจะเจออะไรระดับวิกฤต แต่พอถึงวันที่ 1 สิงหาคม AI กลับค้นพบวิธีเจาะช่องโหว่ของ PHP ได้สำเร็จ และตามมาด้วยวิธีที่สองและสามในเวลาไล่เลี่ยกัน ในขณะที่บริษัท Wiz (ซึ่งGoogle หนุนหลัง) ก็ค้นพบเทคนิคการเจาะช่องโหว่ PHP ใหม่ๆ เพิ่มเติมเช่นกัน

หลังจากมีการออกอัปเดตแพตช์แก้ไขและเปิดเผยข้อมูลต่อสาธารณะ วงการไซเบอร์เซเคียวริทีต่างพากันตื่นตระหนก Vyas Sekar ศาสตราจารย์ด้านวิศวกรรมคอมพิวเตอร์จากมหาวิทยาลัย Carnegie Mellon ถึงกับออกมาระบุว่า นี่คือสัญญาณเตือนครั้งใหญ่ เพราะแนวคิดการป้องกันแบบ "Security by exhaustion" (หรือการหวังพึ่งความเหน็ดเหนื่อยท้อถอยของผู้บุกรุกเป็นเกราะคุ้มกัน) ใช้ไม่ได้ผลอีกต่อไปแล้ว

ลองจินตนาการว่า PHP ตลอด 22 ปีที่ผ่านมาเหมือนธนาคารที่ไม่มียาม ใครๆ ก็เดินไปตู้เซฟแล้วขนเงินออกไปได้ แค่ต้องเสียเวลาสุ่มรหัสร้อยแปดพันเก้า ซึ่งมนุษย์ถอดใจไปก่อน แต่ AI ไม่รู้จักคำว่าเหนื่อย มันสามารถรันโค้ดค้นหารหัสตู้เซฟได้อย่างรวดเร็วในขณะที่เรากำลังนั่งจิบกาแฟสบายๆ

กลไกช่องโหว่สุดซับซ้อนที่ AI ปลดล็อก

ช่องโหว่นี้เกิดขึ้นจากการประมวลผลคำขอรันเว็บไซต์ของ PHP หากเซิร์ฟเวอร์เกิดล่มเพราะหน่วยความจำเต็ม (Out-of-memory) มันจะทิ้งข้อมูลเก่าค้างไว้ ซึ่งสามารถนำมาใช้ประโยชน์ในการปล่อยโค้ดอันตรายหรือรั่วไหลข้อมูลได้

เปรียบเหมือนครัวร้านอาหารที่ยุ่งมากจนเชฟรับออเดอร์ไม่ทันแล้วถอดใจถอดผ้ากันเปื้อนเดินหนี ทิ้งกระทะสกปรก วัตถุดิบดิบ และสูตรอาหารเกลื่อนเคาน์เตอร์ พอเชฟคนใหม่มาถึงก็นำอาหารที่ปนเปื้อนใส่จานสกปรกไปเสิร์ฟ แถมยังแถมสูตรลับส่งไปให้ลูกค้าด้วย!

การจะบีบให้เซิร์ฟเวอร์เกิด Memory Crash ในเสี้ยววินาทีที่ถูกต้องเป๊ะๆ เพื่อข้ามระบบความปลอดภัยของ PHP นั้นทำได้ยากมากสำหรับมนุษย์ แต่ AI กลับหาวิธีลัดได้ง่ายดาย เช่น การส่งไฟล์บีบอัดที่มีขนาดเปิดออกมาแล้วต่างกันมหาศาล หรือการส่งโครงสร้างโฟลเดอร์ซ้อนกันลึกๆ จนระบบ PHP ประมวลผลไม่ทันจนเซิร์ฟเวอร์ล่ม

แล้วก้าวต่อไปคืออะไร?

แม้ปัจจุบันจะมีการออกแพตช์แก้ไขแล้ว แต่ภัยคุกคามก็ยังไม่จบลงครับ เพราะเว็บไซต์จำนวนมากยังคงใช้ PHP เวอร์ชันเก่าอยู่ และการย้ายระบบออกจาก PHP ก็มีราคาแพงมหาศาลเกินกว่าจะทำได้ง่ายๆ (เพราะต้องยกรื้อเขียนแอปพลิเคชันใหม่ทั้งหมด)

คำแนะนำที่ดีที่สุดสำหรับโลกยุค AI ครองเมืองในตอนนี้ คือการปรับเปลี่ยนกรอบความคิดใหม่หมด (Paradigm Shift) โดยต้องสมมติไว้ก่อนว่า "ทุกอย่างคือความเสี่ยง" บริษัทต่างๆ ต้องปฏิบัติตามมาตรฐานความปลอดภัยสูงสุดตลอดเวลา เพราะช่องโหว่จำนวนมากในอดีตที่ไม่เคยถูกเจาะเพียงเพราะมันต้องใช้ความพยายามสูง... บัดนี้ AI ได้ทำให้คำว่า "ความพยายาม" นั้นไร้ความหมายไปเรียบร้อยแล้วครับ

#DRKRIT drkrit.com #กระแสไอที #ข่าวไอที #ไทยสมาร์ทซิตี้