PHP — тот самый невидимый фундамент, о котором вспоминают, только когда он трещит. WordPress, «Википедия», неисчислимые магазины, лендинги и админки — всё это десятилетиями крутится на нём без благодарности. Осенью, на фоне сообщений о высокорисковых уязвимостях в движке, по интернету прокатилась история с красивым кодовым именем PHP2Shell: якобы ИИ-агент самостоятельно нашёл критическую ошибку, а люди лишь довели её до полноценного удалённого запуска кода на сервере. Подтверждённых деталей нет — ни одной. Но шум поднялся не зря: где-то в этой легенде просвечивает реальный слом экономики уязвимостей. Базовое ПО, на котором стоит заметная часть веба, больше не вправе надеяться, что его дыры найдут последними.
С проверяемой фактурой туго. По имеющимся данным, разработчики PHP готовили закрытие двух высокорисковых уязвимостей в движке — и, собственно, всё. Версия о том, будто одну из них нашёл автономный агент на базе большой языковой модели, которому подсунули исходники интерпретатора, подтверждения не получила. Не подтвердился и второй акт — про исследователей, выстроивших эксплойт-цепочку и добившихся удалённого исполнения кода на сервере.
Впрочем, самой опасности доказательства не нужны — она зашита в архитектуру. PHP-скрипт выполняется при каждом обращении к сайту, так что повреждение памяти в движке при удачном стечении обстоятельств превращается в RCE: до аутентификации и без единого вредоносного файла на диске. Такие баги десятилетиями вылавливали руками и фаззерами. Месяцами кропотливого труда.
Агент Big Sleep от Google ещё в 2024-м нашёл настоящую уязвимость в SQLite. Финал конкурса DARPA AIxCC показал, что ИИ-системы умеют не только находить дыры в open-source, но и автономно готовить патчи. На этом фоне PHP2Shell — если детали подтвердятся — означал бы скачок масштаба. SQLite — библиотека. А PHP — фундамент, на котором стоят миллионы сайтов.
Ещё недавно критическая уязвимость в базовом ПО означала месяцы работы сильного исследователя, а эксплойты у брокеров вроде Zerodium уходили за шестизначные суммы. Теперь сравните: ИИ-агент стоит лишь токенов. Он не спит, читает миллионы строк, сверяет патчи между ветками, выдвигает гипотезы о гонках данных и переполнениях — и не просит зарплату. В 2025-м автономный пентест-агент XBOW выбился в лидеры платформы HackerOne по числу подтверждённых находок. Год назад это сочли бы маркетинговой фантастикой.
Для атакующего арифметика проста. Зачем покупать один эксплойт, если можно арендовать агента — и получить десяток багов в нишевых CMS, роутерах и плагинах, до которых у фаззеров так и не дошли руки? Порог входа падает на глазах: Anthropic сама описывала кейсы «вайб-хакинга» — вымогательские атаки, где исполнитель с минимальной квалификацией гнал взлом через агентную модель почти на автопилоте.
Разработчики моделей, конечно, закручивают гайки. Anthropic публично рассказывала о пресечении кампании, где агентская модель почти автономно вела кибершпионаж — собирала разведданные и готовила отчёты для операторов. OpenAI регулярно отчитывается о блокировках аккаунтов, использовавших модели во вред. Всё это, однако, закрытые API с классификаторами злоупотреблений.
Проблема в том, что злоумышленники уходят туда, где фильтров нет. У открытых весов ограничения снимаются дообучением — WormGPT и FraudGPT появились ещё до нынешнего поколения агентов. Добавьте фишинг на идеальном языке жертвы, автоматизацию атакующей инфраструктуры и генерацию обфускаторов — и станет очевидно: guardrails защищают репутацию вендора, а не сеть жертвы. Реальный сдерживающий фактор один — скорость, с которой платформы распознают злоупотребление. А это гонка без финишной черты.
Ирония в том, что атака дешевеет ровно там, где оборона хронически бедна. Базовые библиотеки и движки держатся на энтузиастах и грантах: бэкдор в xz Utils в 2024-м наглядно показал, насколько тонка прослойка людей, которым мы все должны. Google годами гоняет фаззинг OSS-Fuzz по ключевым проектам, но фаззер видит сбои, а не логические изъяны — и значительная часть кода остаётся за пределами его покрытия.
Здесь ИИ-агенты обоюдоостры: те же технологии, что ищут дыры в базовом ПО, способны ревизовать легаси, предлагать патчи и закрывать техдолг быстрее волонтёра — DARPA AIxCC продемонстрировала это воочию. Практический же вывод для администраторов прозаичен до зевоты: сокращайте окно между патчем и внедрением. По имеющимся данным, исправления высокорисковых уязвимостей готовились для поддерживаемых веток PHP. Вопрос лишь в том, накатят ли миллионы хостингов обновление раньше, чем чужой агент переоткроет тот же баг в устаревшей сборке.
С информационной безопасностью здесь исторически повезло: Positive Technologies, «Лаборатория Касперского», BI.ZONE, «Ростелеком-Солар» — компании мирового уровня, а Positive Hack Days собирает сильнейших исследователей региона. Машинное обучение в детект-движках отечественных вендоров трудится давно — от антиспама до анализа сетевого трафика; Касперский регулярно публикует разборы того, как мошенники применяют нейросети и дипфейки.
А вот агентные системы для охоты за уязвимостями — слабое место. Есть эксперименты с ИИ-ассистентами пентестера и ML-скорингом в SOC-платформах, есть собственные большие модели YandexGPT и GigaChat, однако публичных демонстраций «агентов-исследователей» на их базе рынок, по имеющимся данным, пока не видел. Причины понятны: доступ к передовым зарубежным моделям, как отмечают участники рынка, затруднён, а культура ответственного раскрытия уязвимостей только формируется — хотя платформа Standoff Bug Bounty уже годы подключает исследователей со всего мира к охоте за багами в отечественном софте. Перспектива — в связке сильной школы анализа кода с национальными моделями и госпрограммами развития ИИ. Соберут эту связку — дыры в критическом ПО будут находить свои агенты, а не чужие.
PHP2Shell — история вовсе не про PHP, даже если её детали так и останутся неподтверждёнными. Она про то, что охота за критическими уязвимостями перестаёт быть дорогим ремеслом одиночек: Big Sleep, XBOW и DARPA AIxCC уже показали, что заметную часть этой работы агентам по силам, а «зарплата» агента измеряется токенами. У базового open-source выбор незатейливый: находить дыры быстрее противника — теми же агентами, за счёт фондов и компаний-потребителей, — или ждать, пока чужая модель переоткроет старый баг в вашем продакшене. Бумажные политики не работают. Надежда на этику — тем более. Работают автоматизированный аудит, деньги в мейнтейнерстве и быстрые патчи. Ну и, разумеется, обновление PHP на вашем хостинге — прямо сегодня.