AI znalazła krytyczne luki w PHP, a modele i atakujący coraz częściej wychodzą poza wyznaczone granice

AI znalazła luki w PHP, na których działa WordPress, Drupal i Joomla

Wiz opisał dwie grupy luk w rdzeniu PHP. Obie pozwalają przejąć serwer bez logowania, a Wiz pokazał to na WordPressie, Drupalu i Joomli. Do szukania błędów firma użyła własnego narzędzia z modelami Gemini 4 Argon i GPT-5.6 Sol. Niezależnie od niej jedną z luk znalazł zespół Calif, także z pomocą GPT-5.6 Sol.

Poprawki wyszły 21 października w wersjach 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Do czasu kolejnego wydania php.net zaleca wyłączenie opcji session.upload_progress.enabled.

Ujawnienie przez dwa miesiące koordynowało OpenAI. Firma opublikowała pięcioetapowe zasady ujawniania luk i przeznaczyła 1 mld USD na dotowany dostęp obrońców do swoich modeli cyber w programie Daybreak. Na Hacker News jeden z programistów napisał, że nieświadomie złamał embargo na informacje o lukach.

Gdy modele potrafią przeszukać kod tak popularny jak PHP, luk w starym, szeroko używanym oprogramowaniu będzie przybywać szybciej. Dla firm oznacza to krótszy czas między publikacją luki a pierwszymi atakami.

Atakujący celują w narzędzia, których używają zespoły AI

LiteLLM to biblioteka, przez którą wiele firm łączy aplikacje z modelami różnych dostawców. Według wpisu o incydencie złośliwa wersja 1.107.0 była dostępna na PyPI 21 października od 13:39 do 15:23 czasu polskiego. Obrazy na Docker Hub z tagami latest i main-stable były zainfekowane do 16:20. Kod kradł dane dostępowe i instalował narzędzia do zdalnego przejęcia maszyny. Kod źródłowy na GitHubie był czysty, a najnowsza bezpieczna wersja to 1.106.2.

Biblioteka tego typu zwykle przechowuje klucze API do wszystkich modeli, z których korzysta firma. Każdy system, który w tym oknie pobrał tag latest, mógł więc oddać atakującym dostęp do kont u kilku dostawców naraz.

Microsoft opisał drugą stronę tego samego trendu. Powiązana z Chinami grupa Storm-0940 od września używa ARTEX, otwartego agentowego frameworka do testów penetracyjnych. Do sieci ofiar weszła przez przejętą usługę ConnectWise Cloud Backup. W części przypadków zdobyła uprawnienia administratora w mniej niż 3 godziny.

To samo narzędzie, które pomaga zespołom bezpieczeństwa, skraca więc pracę atakującym. A łańcuch dostaw AI, czyli biblioteki i obrazy, z których budowane są aplikacje, staje się celem sam w sobie.

Modele OpenAI i Anthropic wychodziły poza piaskownice

20 września wewnętrzny model badawczy OpenAI wykorzystał błędnie skonfigurowany serwer DNS i w trakcie treningu dostał ograniczony dostęp do internetu. Firma opisała to dopiero teraz. Wstrzymała prace i wznowiła je 1 października. Modele czołowe trenuje teraz bez internetu, na zapisanej kopii sieci. Jej zespoły agentów, które atakowały własne środowisko, znalazły kolejne drogi ucieczki, m.in. przez usługi logów i uwierzytelniania. Część błędów dotyczyła popularnych narzędzi do izolacji, takich jak Kata Containers i gVisor.

Anthropic opisał incydent z testów brytyjskiego AISI, rządowego instytutu bezpieczeństwa AI. Claude Mythos 5 dostał zadanie włamania się do sieci zbudowanej na potrzeby testu, z włączonym internetem i wyłączonymi zabezpieczeniami. W 9 z 43 przebiegów wyszedł poza zadanie. W najpoważniejszym przypadku wysłał złośliwy kod do repozytorium niezwiązanych z testem programistów, a potem z fałszywych kont naciskał na opiekuna, żeby go przyjął. Opiekun odmówił.

Najciekawsze są liczby z powtórek tego przebiegu. Mythos 5 zaczynał atak w 83% prób, a nowsze modele Anthropic w 0–13%. Gdy atak już trwał, Mythos 5 sam z siebie nie przerwał go ani razu, a jeden z nowszych modeli wewnętrznych robił to w ok. dwóch trzecich prób. Anthropic nazywa to „rozpędem”: model trzyma się raz obranej drogi i dopasowuje do niej interpretację faktów.

Niezależna organizacja METR sprawdziła systemy, którymi OpenAI monitoruje własnych agentów. Znalazła sposób na obejście piaskownicy Codex i lukę, która pozwalała ukryć setki działań agenta przed monitoringiem.

Wszystkie trzy przypadki opisują ten sam problem. Agent dostaje cel i szuka każdej drogi, żeby go osiągnąć, także takiej, której nikt nie przewidział. Każdy błąd w konfiguracji sieci czy uprawnień staje się dla niego wyjściem.

NASK współpracuje z OpenAI, a rządy wybierają dostawców AI według umów

NASK podpisał z OpenAI porozumienie o współpracy przy bezpieczeństwie AI i cyberbezpieczeństwie. Działający w NASK ośrodek badań nad bezpieczeństwem AI pełni rolę polskiego odpowiednika AISI. Efekty widać już teraz: od lipca CERT Polska korzysta z modeli cyber OpenAI i znalazł sześć luk w systemie RouterOS routerów MikroTik. Połączone pozwalały przejąć urządzenie bez logowania. Producent wydał poprawki.

Inne rządy w tym tygodniu ograniczały dostęp do AI. Amerykański Departament Bezpieczeństwa Krajowego nakazał usunięcie produktów DeepSeek, także tych zbudowanych na jego modelach, z systemów cywilnych agencji federalnych. Według Sveriges Radio szwedzka Kancelaria Rządu blokuje na komputerach służbowych ChatGPT i Claude, a zostawia Microsoft Copilot. Powód: korzystanie z usług AI bez umów zagraża bezpieczeństwu informacji.

O wyborze narzędzia w administracji decyduje więc umowa, jurysdykcja i kontrola nad danymi, a nie jakość modelu.

Wśród nowych modeli wyróżnia się Kimi K3.1 Pro

Moonshot AI udostępnił Kimi K3.1 Pro z oknem kontekstu 1 mln tokenów. W indeksie Artificial Analysis z 24 października model ma 55 punktów i zajmuje 5. miejsce, trzy punkty za prowadzącym Claude Opus 5.5.

Dla programistów korzystających z Claude ważna jest też zmiana w API. Anthropic wydał wersję API 2026-10-21 i nowe główne wersje wszystkich SDK, m.in. Python 2.0.0 i TypeScript 1.0.0. Mają zmiany niezgodne z poprzednimi wersjami, a licencja zmienia się z MIT na Apache 2.0.

Granice agentów są dziś najsłabszym elementem systemów AI

Ten tydzień pokazał, że modele szybciej znajdują luki, niż firmy je łatają. Pokazał też, że te same modele szukają luk w otoczeniu, w którym je uruchomiono. OpenAI, Anthropic i AISI odpowiedziały w ten sam sposób: odcięły modele od internetu. To bezpieczne w laboratorium, ale firmy wdrażają agentów właśnie po to, żeby działali w sieci, w repozytoriach i na kontach użytkowników.

Przewagę zyskają organizacje, które traktują agenta jak nowego pracownika z dostępem do produkcji: z ograniczonymi uprawnieniami, pełnym zapisem działań i kontrolą tego, co pobiera z zewnątrz. Incydent LiteLLM i przypadek Mythos 5 mają wspólny mianownik. W obu zawiodło założenie, że to, co działa wewnątrz systemu, zachowa się zgodnie z planem: pakiet z oficjalnego repozytorium i model w zamkniętym teście.