O CEO da Cloudflare afirma que a IA vai revolucionar a internet semanalmente pelos próximos dois anos.

O CEO da Cloudflare, Matthew Prince, disse à Reuters para esperar alguns anos de pânicos semanais de segurança, dias depois de uma pesquisa assistida por IA sobre o PHP ter tirado o GOG do ar.

As falhas que causaram a confusão estão no próprio PHP, não em nenhum site construído sobre ele, e o PHP é usado em 69,3% dos sites cuja linguagem de servidor é conhecida. Prince afirma que sua empresa já tem conhecimento de vulnerabilidades mais graves em outros softwares críticos. O que mudou esta semana foi a rapidez com que qualquer pessoa pode transformar uma vulnerabilidade em um ataque funcional.

A Wiz Research publicou as descobertas em 21 de outubro sob o nome PHP2Shell, agrupadas em duas CVEs com gravidade atingindo CVSS 9.2. Todas as versões do PHP da última década são afetadas por pelo menos uma delas, remontando à versão 5.4. Os bugs são problemas de segurança de memória na forma como o mecanismo lida com erros fatais e permitem que um atacante não autenticado leia a memória do processo ou execute código no servidor. A memória em questão pode conter senhas, tokens de autenticação, chaves de API e certificados pertencentes a outras requisições. A equipe de pesquisa demonstrou a execução remota de código pré-autenticação contra contêineres atuais do WordPress, Drupal e Joomla, e ressaltou que a escolha do software foi arbitrária, já que uma página simples "Olá, mundo!" em uma versão afetada do PHP é exposta da mesma forma. A equipe do PHP lançou a correção no mesmo dia.

O código vulnerável estava lá há mais de dez anos sem que ninguém o transformasse em um exploit utilizável. Criar um significava encadear vários bugs e adaptar-se à forma como cada alvo organiza a memória, o tipo de trabalho lento e especializado que antes mantinha as falhas apenas como teóricas.

“Os modelos de fronteira foram essenciais para tornar esse processo viável, permitindo-nos desenvolver e adaptar soluções funcionais em diversas aplicações em questão de horas.”

— Wiz Research

A Wiz divulgou os modelos que utilizou, com o Gemini 4 Argon sendo creditado por suas contribuições na descoberta, desenvolvimento de exploits e validação de patches, e Raluca Ada Popa, do Google DeepMind, descrevendo o resultado como uma IA de ponta que preencheu uma lacuna com a qual os defensores conviviam há uma década. O mesmo mecanismo funciona para qualquer pessoa do outro lado. O argumento de Prince à Reuters é que o limite para a descoberta de vulnerabilidades costumava ser o número de especialistas dispostos a dedicar meses a isso, e esse limite não existe mais.

"Acho que teremos alguns anos em que, a cada semana, teremos a sensação de que o mundo está acabando."

— Matthew Prince

A Cloudflare está à frente de 86% dos sites que usam um proxy reverso, o que corresponde a 27,9% da web. Essa lista inclui Epicgames.com, Spotify, Shopify e X. A empresa também está há seis meses em processo de reestruturação em torno da IA, tendo demitido 1.100 funcionários por e-mail em maio, cerca de 20% da companhia. O memorando de Prince descreve uma transição para a era dos agentes de IA, e não uma simples redução de custos. O uso interno de IA na empresa aumentou mais de 600% nos três meses anteriores. O homem que prevê dois anos de colapso impulsionado pela IA dirige uma empresa que apostou seu quadro de funcionários nessa mesma tecnologia.

Às 8h da manhã, horário do Pacífico, a GOG anunciou que sua loja e a GOG Galaxy ficariam fora do ar por algumas horas para manutenção, sem informar o motivo. Cerca de quatro horas depois, a empresa retornou com uma declaração sobre a única coisa que uma interrupção não pode afetar.

“Sua biblioteca sem DRM está exatamente onde você a deixou.”

— GOG

Os servidores de login de Final Fantasy 14 ficaram fora do ar no mesmo período, e o governo da Finlândia retirou os sites do ar por precaução. Nenhum desses serviços precisava estar executando código vulnerável para que a decisão fizesse sentido; corrigir uma linguagem usada por dois terços da internet é mais rápido com os servidores desligados.

Preocupo-me mais com a divisão de versões do que com a data do patch. O PHP 8 abrange 65,4% dos sites PHP, o que deixa 26,8% na versão 7 e 7,7% ainda na versão 5, e esses são os servidores com menor probabilidade de terem alguém lendo um blog de divulgação numa quarta-feira. Um patch lançado em 21 de outubro protege apenas os servidores que o instalam, e o restante permanece aberto enquanto ninguém o modificar.

A discussão sobre IA que a indústria de jogos vem travando durante todo o mês gira em torno de uma máquina diferente. Masahiro Sakurai afirmou esta semana que as ferramentas generativas impulsionarão o Steam para além dos 19.000 jogos lançados este ano, um aumento significativo em relação aos 275 de 2010, e que a maior parte dos lançamentos serão cópias não lucrativas de sistemas já utilizados por outros jogos. Sua preocupação é com uma loja virtual que ninguém consegue decifrar. A divulgação sobre o PHP aponta para a mesma capacidade na infraestrutura, onde o volume de produção não é o problema, mas sim uma única cadeia de processamento.

A Epic Games anunciou sua AI MegaJam para 12 de novembro, com US$ 7.500 para o primeiro lugar em cada categoria e bolsas de continuação de até US$ 50.000, mas discretamente removeu a seção de perguntas frequentes que informava aos participantes que eles precisavam usar IA. O site Epicgames.com está na lista de sites que estão por trás da camada de proxy gerenciada por Prince, que é a parte da infraestrutura que absorveu esta semana, e não a parte que executa a jam.

Brandon Stirrup, gerente sênior de estratégia de negócios do Xbox, apresentou a versão mais contundente da alegação de "maker" em 18 de outubro, afirmando que qualquer pessoa pode criar um jogo com IA a partir de um protótipo de dois dias com cerca de três horas de trabalho, e depois deletou sua conta no dia seguinte. Considero o argumento do "maker" menos interessante esta semana do que o do "breaker", porque um prêmio de uma game jam e um tópico deletado são opiniões, enquanto um CVSS 9.2 na linguagem usada pela maioria dos desenvolvedores web é uma demonstração.

Prince espera que o ciclo termine em algum ponto útil. Sua posição é que as falhas que estão sendo descobertas agora sejam corrigidas e que o software saia dos próximos dois anos mais seguro do que entrou. Essa é uma afirmação de longo prazo atrelada a uma instrução de curto prazo, que é manter os navegadores e clientes atualizados e tratar os próximos meses de avisos de indisponibilidade como rotina. Eu prefiro ciclos de patches tediosos a um código-fonte mais limpo em 2028, e a previsão apresentada aponta para a segunda opção.

A Cloudflare não informou quais outros softwares críticos estão sendo monitorados. A Wiz afirmou que as variantes de PHP relatadas não são as únicas no código-fonte, embora a atualização de outubro resolva o problema na classe raiz.