OpenAI v textu Patch the Planet popsalo, jak v posledních dvou měsících vedlo koalici správců, výzkumníků a bezpečnostních firem při reakci na kritické zranitelnosti v PHP, otevřeném programovacím jazyce, na kterém běží množství webů a webových aplikací. Kritickou chybu podle firmy našla společnost Calif s pomocí modelu GPT-5.6 Sol v rámci iniciativy Patch the Planet. Obě zranitelnosti nezávisle objevila a nahlásila také firma Wiz. Opravy a jejich vydání vedli správci PHP.

Co se stalo s PHP

OpenAI uvádí, že jeho týmy a partneři, mezi nimi Wiz a Cloudflare, přispěli výzkumem, technickou podporou a koordinací, aby ochrana byla připravena ještě před zveřejněním. Provozovatelům firma nabízí nástroj pro kontrolu verze PHP, který vydala jako dovednost pro Codex (github.com/openai/php2shell-checker). Pomáhá zjistit, které verze mohou být zranitelné. Provozovatelé by ho podle OpenAI měli používat spolu s pokyny samotného PHP a svých poskytovatelů, aby poznali, které aktualizace se jich týkají.

Text označuje případ za jeden z nejvýznamnějších bezpečnostních problémů poslední doby. Podle OpenAI umělá inteligence umí odhalit chyby v měřítku celého internetu, ale tytéž schopnosti mohou útočníkům pomoci vytvářet exploity. Pokud se OpenAI dozvědělo správně, přední modely našly tyto zranitelnosti dřív než útočníci. Tím vznikl takzvaný „Defender’s Window“, tedy čas na přípravu oprav a ochran. Firma o něm píše v samostatném článku.

Pět kroků od chyby po nasazení oprav

OpenAI z případu odvodilo postup o pěti krocích. Nejdřív správci, výzkumníci a technoví partneři zranitelnost potvrdí, posoudí dopad a vytvoří a otestují opravu, včetně zkoušek s předními modely, které hledají obejití a varianty. Poté se rozhoduje, které organizace potřebují informace předem. Příkladem je distributor, který upravuje opravu pro starší vydání, hostingová firma testující zmírnění dopadu nebo bezpečnostní poskytovatel připravující detekční pravidla či pravidla pro webový aplikační firewall (WAF).

Třetím krokem je koordinace s vládními partnery. U PHP OpenAI oslovilo několik částí americké vlády, včetně Úřadu národního ředitele pro kybernetiku (ONCD) a agentury CISA, i mezinárodní partnery. Ve čtvrtém kroku správci zapojují distributory, poskytovatele hostingu a služeb, týmy reakce na incidenty i provozovatele a připravují aktualizace. Pátým krokem je zveřejnění pokynů, aby lidé mohli posoudit, zda jsou ohroženi, najít oficiální aktualizace nebo dočasná opatření a ověřit opravu.

Kdo se dozví podrobnosti předem, se podle textu odvíjí od ochranné role organizace, času potřebného k reakci a schopnosti nakládat s citlivými informacemi. Rozhodují o tom správci. Příjemci dostávají jen takové údaje, které potřebují: od síťových logů s indikátory kompromitace až po funkční ukázky zneužití. Už omezené detaily mohou chybu prozradit, proto se riziko sdílení poměřuje s ochranou, kterou umožní. Časový plán se má přehodnotit při aktivním zneužívání, úniku nebo odhalující veřejné záplatě.

Miliarda dolarů a pomoc správcům

OpenAI se zavázalo poskytnout dotovaný přístup k nástroji Daybreak v hodnotě jedné miliardy dolarů v programu Daybreak for Frontline Defenders. Je určen organizacím s omezenými bezpečnostními zdroji, které chrání zásadní služby. Chyby v PHP jsou podle firmy jen jednou z několika významných zranitelností, které našla a opravuje, a v dalších měsících očekává prudký nárůst podobných nálezů.

Řada open-source projektů je podle textu malých týmů, které řeší bezpečnostní hlášení vedle běžné práce. OpenAI proto nabízí předplatné všem správcům přes program Codex for OSS a přímo sponzoruje projekty, například Rust Foundation, do které vstoupilo jako platinový člen s darem. Open-source projekty se mohou přihlásit do Patch the Planet pro praktickou pomoc. Firma také dolaďuje další blokující klasifikátory pro Daybreak, které mají omezit zneužití. Připouští, že mohou blokovat i legitimní bezpečnostní práci.

Veřejné zdroje a otevřené otázky

Web patchtheplanet.org shromažďuje zveřejněná oznámení a pokyny. U PHP odkazuje na návody správců k záplatám a upgradům i na technický výzkum partnerů. Zmiňuje také dočasná opatření, kdy přizvat poskytovatele nebo experta a jak řešit zálohy a obnovu. OpenAI upozorňuje, že dočasná ochrana má omezení a nevýhody. K rychlosti reakce mohou provozovatelé použít pokyn CISA BOD 26-04 „Prioritizing security updates based on risk“, podle kterého se rozhoduje podle expozice, zneužívání a dopadu. Může být nutná i forenzní kontrola, zda k napadení nedošlo.

OpenAI také sbírá zpětnou vazbu k otázkám, na které nemá jasnou odpověď: jak dlouhé mají být lhůty před zveřejněním, kdy by případně vlády nebo provozovatelé měli záplatovat systémy, které spravují, po ztrátě administrátorského přístupu, kdo má být varován předem a jak opravit navazující balíčky, než dorazí oprava z upstreamu.

Do budoucna OpenAI vidí využití AI ve čtyřech oblastech: bezpečný kód od začátku, přechod kritických součástí na paměťově bezpečné jazyky, formální verifikace a silnější izolace softwaru, který zpracovává nedůvěryhodné soubory, obrázky či média.

Zdroje

• OpenAI: Patch the Planet, 21. 10. 2026