Le falle PHP trovate dall'IA, ma l'IA aiuta anche gli attacchi
Le due vulnerabilità critiche di PHP erano nel codice dal 2004 e non risultano essere state sfruttate finora. A trovarle sono stati modelli di intelligenza artificiale di OpenAI e Google, gli stessi strumenti che oggi rendono molto più semplice costruire un attacco.
- Le falle erano presenti in PHP dal 2004 ma non risultano sfruttate prima della scoperta.
- GPT-5.6 Sol e Gemini 4 Argon le hanno individuate in ricerche indipendenti.
- Secondo Wiz, l'IA permette di adattare un exploit a server diversi in pochi minuti.
Chi le ha scoperte
Secondo quanto riportato da TechCrunch e The Decoder, la società di sicurezza Calif ha individuato una delle falle nell'ambito di Patch the Planet, l'iniziativa di OpenAI dedicata alla ricerca di difetti nel software libero, usando il modello GPT-5.6 Sol. In parallelo il team di Wiz, azienda di sicurezza di proprietà di Google, ha trovato in modo indipendente più vulnerabilità usando la propria piattaforma Wiz Atlas insieme a Gemini 4 Argon e allo stesso GPT-5.6 Sol. Secondo Wiz, Gemini 4 Argon si è rivelato utile non solo per scovare il problema, ma anche per sviluppare dimostrazioni di attacco, costruire sistemi di rilevamento e verificare la correzione.
Entrambi i gruppi hanno seguito le regole della divulgazione responsabile, avvisando prima gli sviluppatori di PHP. La correzione è stata coordinata in due mesi e cinque fasi, con il coinvolgimento di Cloudflare e di agenzie statunitensi come la CISA e la Casa Bianca. OpenAI propone questo percorso come modello ripetibile per future scoperte guidate dall'IA.
Perché nessuno le sfruttava prima
Un exploit è il codice che trasforma una falla in un attacco funzionante. Finora, spiega Wiz, un exploit che funzionava su una specifica installazione di PHP richiedeva molto lavoro per essere adattato ad altre versioni, configurazioni e disposizioni della memoria. Quella difficoltà teneva lontani gli aggressori.
I modelli linguistici di grandi dimensioni, cioè sistemi come ChatGPT o Gemini addestrati su enormi quantità di testo e codice, rimuovono quella barriera: possono riscrivere e adattare un attacco automaticamente. Come scrive Wiz, vulnerabilità che sembravano poco pratiche da sfruttare diventano bersagli realistici. Olejnik, citato da Wired, parla di un orizzonte temporale di un minuto.
Perché conta
Questa vicenda è un esempio netto della doppia natura dell'intelligenza artificiale applicata alla sicurezza informatica: lo stesso strumento che ha permesso di chiudere un buco vecchio di vent'anni prima che venisse usato, abbassa drasticamente il costo di attaccare chi non si aggiorna.
OpenAI si aspetta che scoperte di questa portata aumentino nettamente nei prossimi mesi. Per aziende e pubbliche amministrazioni, anche in Italia, significa che la finestra tra la pubblicazione di una falla e il primo attacco si sta accorciando, e che la manutenzione dei sistemi non può più essere rimandata di settimane.
