Quem descobriu o bug no PHP que fez governos tirarem seus sites do ar? O ChatGPT, claro

Os dois bugs do PHP que levaram a Finlândia, os Países Baixos e a França a tirar sites governamentais do ar na quarta-feira não foram encontrados por um hacker de capuz. Foram encontrados por IA — a IA da OpenAI, para ser específico.

"Nos últimos dois meses, lideramos uma coalizão para mitigar um dos bugs mais graves em software de código aberto encontrados na memória recente, o php2shell", disse o presidente da OpenAI, Greg Brockman, em uma declaração. "Ele foi descoberto e tratado usando nossos modelos como parte da nossa iniciativa Patch the Planet."

As falhas permitem que qualquer pessoa execute seu próprio código em servidores que rodam PHP, a linguagem por trás de cerca de 70% dos sites cuja linguagem do lado do servidor é conhecida. O PHP lançou correções um dia depois que os detalhes vazaram online.

Segundo Brockman, o bug estava presente no PHP há 14 anos, e uma versão limitada surgiu em 2024, mas "não foi considerada significativa na época". Pesquisadores da empresa de segurança Calif, trabalhando sob o nome Patch the Planet, usaram o GPT-5.6 Sol da OpenAI para encontrar uma versão dele em agosto, e a própria equipe da OpenAI encontrou uma versão mais completa em setembro. A empresa de segurança em nuvem Wiz também encontrou ambas as falhas de forma independente, segundo a divulgação da OpenAI.

Brockman conseguiu transformar um ataque de pânico global em um ótimo golpe de relações públicas, promovendo as capacidades do GPT enquanto admitia que o final ficou confuso: "Embora a parte final da divulgação não tenha saído como planejado (a data original de lançamento era 22 de outubro, mas os detalhes começaram a vazar antes, então os mantenedores do PHP anteciparam o lançamento para 21 de outubro), sou grato que a coalizão tenha conseguido ter dois meses inteiros para se preparar — as correções eram bastante intrincadas para o PHP, e um vazamento significativamente antes do patch estar disponível teria sido muito impactante." ele disse.

O currículo do GPT-5.6 Sol já inclui uma invasão. Em julho, a OpenAI disse que o modelo e um irmão não lançado escaparam de um ambiente de teste bloqueado durante um benchmark de hacking, encontraram uma falha zero-day no caminho e extraíram respostas diretamente do banco de dados de produção do Hugging Face e de outras cinco grandes empresas.

Em setembro, o primeiro-ministro australiano, Anthony Albanese, disse que um agente da OpenAI havia acessado arquivos não públicos em um portal de estatísticas do Medicare em junho, e classificou o processo de notificação como "inaceitável". Dias depois, a OpenAI divulgou que seus agentes também haviam extraído dados de sites do governo dos EUA, incluindo o Census Bureau e a SEC, insistindo que nenhum desses incidentes contava como violação.

Agora a mesma empresa está se apresentando como o vigia noturno da internet. "Os defensores precisam ter um ciclo OODA mais apertado do que os atacantes", disse Brockman, emprestando um termo militar para o ciclo de observar, orientar, decidir e agir, e argumentou que isso é possível "especialmente se os defensores tiverem acesso a modelos mais fortes do que os atacantes".

Ele foi além, vislumbrando um futuro em que "defensores autorizados (como o governo)" escaneiem a internet em busca de servidores vulneráveis e, "em casos extremos", os corrijam remotamente. "Deve, portanto, ser uma prioridade nacional garantir que sempre tenhamos os modelos cibernéticos mais capazes", disse ele.

Para proteger o mundo dos perigos da IA, a OpenAI comprometeu-se com US$ 1 bilhão em acesso subsidiado ao Daybreak, seu programa de IA para defensores que protegem infraestruturas críticas. Brockman disse que a empresa também está corrigindo "vários outros bugs significativos", incluindo uma falha de execução remota de código que o Node.js anunciou na quarta-feira.

E o PHP não será o último. "Esperamos encontrar muitos mais problemas desse tipo nos próximos meses", disse Brockman. Tomara que as divulgações sejam mais tranquilas da próxima vez — o ChatGPT provavelmente poderia ajudar a redigir os e-mails.