Governi, aziende e istituzioni di tutto il mondo hanno un debito di riconoscenza nei confronti di Ryan Austin, ricercatore della società di cybersicurezza Calif.
È quanto scrive il Times in un editoriale dal titolo eloquente, “Achilles’ Heel”, il tallone d’Achille.
Utilizzando un sistema avanzato sviluppato da OpenAI, Austin è riuscito a individuare una grave vulnerabilità in PHP (Hypertext Preprocessor), il linguaggio di programmazione su cui si regge fino al 70 per cento dei siti web del pianeta.
Il ricercatore ha identificato una falla che, attraverso una serie di richieste costruite ad arte, potrebbe consentire ai criminali di prendere il controllo dei server che ospitano i siti colpiti.
In questo modo, ha spiegato, si potrebbe “accedere ai vostri dati personali… a qualsiasi cosa possiate aver archiviato”.
In alcuni casi, riporta il quotidiano britannico, il controllo illecito dei siti più piccoli potrebbe essere teoricamente acquisito nel giro di pochi secondi.
PHP2shell, una corsa contro il tempo
Il problema, battezzato “PHP2shell”, è stato rilevato più o meno nello stesso periodo anche dalla società di cybersicurezza Wiz.
Quando la debolezza è stata scoperta, ad agosto, è stata mantenuta segreta: l’obiettivo era dare il tempo di sviluppare gli aggiornamenti software necessari a “rattoppare” il sistema e di informare in anticipo le principali agenzie nazionali di cybersicurezza.
La patch è stata infine rilasciata, ma una fuga di notizie aveva già reso la vulnerabilità di dominio pubblico sui siti frequentati dagli hacker.
La risposta globale, sottolinea il Times, è stata imponente.
Milioni di siti dovranno essere aggiornati.
Il National Cyber Security Centre britannico ha invitato le organizzazioni ad aggiornare immediatamente la propria sicurezza online o a valutare di andare offline finché non saranno in grado di farlo.
Le stesse organizzazioni dovrebbero inoltre verificare la presenza di “backdoor installate da un aggressore”.
Il timore è che, ora che la correzione è pubblica, gli hacker possano analizzarla e usarla per individuare la strada verso sistemi ancora rimasti senza protezione.
Dopo l’annuncio della falla, secondo gli esperti di sicurezza informatica citati dal Times, i tentativi illeciti di sfruttarla sono passati da migliaia a milioni.
Eppure, in questo caso, c’è spazio per un cauto ottimismo: sebbene 32 servizi del governo britannico siano stati messi offline in attesa dell’aggiornamento, finora non ci sono indicazioni che i sistemi informatici governativi siano stati violati.
Le prossime settimane, avverte però il quotidiano, porteranno senza dubbio nuove minacce, soprattutto per gli enti più piccoli e dotati di misure di sicurezza meno stringenti.
L’AI, arma a doppio taglio
Per quanto grave, l’incidente è secondo il Times soltanto la prima salva di una guerra informatica in rapida escalation, nella quale bisogna attendersi attacchi crescenti sia da parte di organizzazioni criminali sia di attori statali ostili, come la Russia.
Come ha osservato la stessa OpenAI nella sua risposta, la medesima capacità dell’intelligenza artificiale che ha permesso di individuare la falla in PHP può anche “aiutare gli aggressori a sviluppare rapidamente strumenti offensivi ed exploit”.
Il Centre for Long-Term Resilience (CLTR), think tank che consiglia il governo di Londra sui rischi ad alto impatto, aveva già rilevato lo scorso anno una probabilità crescente di un “grave incidente di sicurezza legato all’AI nel prossimo futuro”.
Scenari che potrebbero includere un sistema di intelligenza artificiale usato impropriamente per colpire infrastrutture nazionali critiche o per rendere possibile un attentato terroristico.
Il CLTR ha raccomandato l’adozione urgente di un “quadro di preparazione” ispirato alla UK Biological Security Strategy, la strategia britannica per la sicurezza biologica.
Prepararsi, non farsi prendere dal panico
Il governo britannico, riconosce il Times, ha recentemente adottato alcune sensate misure preventive per contrastare queste minacce, attraverso il suo AI Safety Institute e progetti pilota di ciberdifesa.
Ma serve fare di più, in particolare sul fronte della consapevolezza pubblica e della creazione di strumenti d’emergenza statali decisivi da attivare in caso di una crisi provocata dall’intelligenza artificiale.
La conclusione dell’editoriale è netta: il panico non è né utile né auspicabile, ma la preparazione è entrambe le cose.
E dovrebbe essere considerata una priorità politica.
Per saperne di più:
L’effetto boomerang della tassa sui miliardari | L’analisi del Wall Street Journal
Favori agli anziani, debito ai figli: le ragioni dei giovani in piazza | L'analisi di Lorenzo Bini S...
L’Italia dei poveri con il posto fisso | I dati
Non chiamatela guerra ibrida, è contagio sociale | L’analisi
La Francia è un Paese che vive al di sopra dei propri mezzi | L’analisi del Times
