米OpenAIは、オープンソースのプログラミング言語PHPで見つかった重大な脆弱性への対応について、取り組みの内容を公表しました。ウェブサイトやウェブアプリケーションの実行に使われるPHPの欠陥について、同社は過去2か月にわたり、メンテナー、研究者、セキュリティ事業者の連携を主導してきたと説明しています。脆弱性の発見には、同社のAIモデル「GPT-5.6 Sol」などが役割を果たしました。
同社の「Patch the Planet」の取り組みの一環として、Calif社がGPT-5.6 Solを使って重大な欠陥を特定しました。Wiz社も独自に両方の脆弱性を発見し、報告したということです。修正とリリースはPHPのメンテナーが主導し、OpenAIのチームやWiz、Cloudflareなどのパートナーが調査や技術支援、調整に協力して、情報公開の前に防御策を準備しました。共同創業者兼社長のグレッグ・ブロックマン氏は、脆弱性の発見について投稿した際、PHPが自分にとって最初のプログラミング言語だったと述べています。
OpenAIは欠陥の深刻さとPHPの普及度を踏まえ、今回の問題を近年で最も影響の大きいセキュリティ問題の一つと捉えていると述べました。AIがインターネット規模の影響を及ぼす欠陥を発見できることを示した一方、同じ能力が攻撃者による攻撃ツールやエクスプロイト（脆弱性を悪用するコード）の迅速な開発にも役立つ可能性があると指摘しています。同社の知る限り、フロンティアAIは攻撃者より先にこれらの脆弱性を見つけ、防御側は公開前に修正や防御策を準備する猶予を得られたといいます。
PHPを利用する組織の最優先事項は修正の適用です。運用担当者が影響を受ける可能性のあるバージョンを特定できるよう、同社はPHPバージョンチェッカーをCodexスキルとして公開しました。
同社は、重大な脆弱性に対処する枠組みも提案しています。対応は、上流の脆弱性の検証と修正、影響を受ける組織の対応時間の確保、政府機関との連携、各製品の更新準備、パッチ提供後のガイダンス公開と適用支援という5段階で進めます。どの組織に事前に関与を求めるかはメンテナーが決めます。PHPの事例では、ホワイトハウスのSuper Intelligence Force、国家サイバー長官室（ONCD）、サイバーセキュリティ・インフラセキュリティ庁（CISA）など米政府の複数部門や国際的なパートナーとも連携しました。
防御側への支援として、同社はDaybreak for Frontline Defendersを通じ、Daybreakの利用に10億ドルの助成を行うと約束しました。限られたリソースで社会に不可欠なサービスを守る組織が重点です。Codex for OSSによるメンテナーへのサブスクリプション提供や、Rust Foundationなどへの資金援助も進めており、オープンソースプロジェクトはPatch the Planetに応募して支援を受けられます。
OpenAIは、今回のバグが発見済みの複数の重大な脆弱性の一部にすぎず、今後数か月で同様の発見が急増すると見込んでいます。公開までの猶予期間や事前通知の範囲などについて、セキュリティコミュニティに意見も求めています。
出典：https://openai.com/ja-JP/index/coordinated-disclosure-of-critical-vulnerabilities/