Cognition משחררת תוסף קוד פתוח שמתקן פרצות RCE ב-PHP, ב-Node.js וב-GitLab

חברת Cognition, שמפתחת את סוכן התכנות Devin, שחררה תוסף קוד פתוח בשם Devin Vulnerability Fixes. התוסף נועד לעזור לארגונים להתגונן מפני פרצות RCE קריטיות שנחשפו השבוע ב-PHP, ב-Node.js ובהתקנות GitLab בניהול עצמי (self-managed). לפי הדיווח ב-MarkTechPost, התוסף כולל שלוש יכולות (skills) לסוכני AI, כולן ברישיון MIT. הן ממפות את המערכות הפגיעות, מתקינות תיקון, מריצות בדיקות ובסוף פותחות Pull Request (בקשת מיזוג) אחד לכל מאגר קוד.

מה התוסף עושה בפועל

RCE (קיצור של Remote Code Execution, הרצת קוד מרחוק) היא כנראה הסוג החמור ביותר של פרצות אבטחה. היא מאפשרת לתוקף להריץ קוד משלו על השרת של הקורבן, ולעיתים קרובות זה אומר שליטה מלאה במערכת. PHP ו-Node.js נמצאות בבסיס של חלק גדול מאתרי האינטרנט ומהשירותים ברשת. GitLab בניהול עצמי הוא שרת שבו ארגונים רבים שומרים את קוד המקור שלהם. לכן כל פרצה כזו מגיעה בבת אחת לכמות גדולה של מערכות.

לפי התיאור, התוסף עובד בשלושה שלבים:

• מיפוי (inventory): הסוכן סורק את המאגרים ומזהה אילו מהם מריצים גרסאות פגיעות.
• תיקון ובדיקה: הסוכן מעדכן את הרכיבים הפגיעים ומריץ בדיקות כדי לוודא שהתיקון לא שבר שום דבר.
• הגשה: לכל מאגר נפתח PR אחד, והמפתחים בארגון מחליטים אם למזג אותו.

הבחירה ב-PR, ולא בשינוי ישיר של הקוד, משאירה ככל הנראה את ההחלטה הסופית בידי בני אדם. זה עיקרון חשוב כשנותנים לסוכן AI לגעת בקוד שרץ בסביבת ייצור (production).

למה קוד פתוח ולמה עכשיו

רישיון MIT הוא אחד מרישיונות ה-open source המתירניים ביותר. כל ארגון יכול להשתמש בקוד, לשנות אותו ולשלב אותו במערכות שלו, גם מסחריות, בלי לשלם ובלי לחשוף את הקוד שלו. המשמעות היא שהתוסף לא מיועד רק ללקוחות של Devin. ארגונים יכולים לקחת את היכולות ולהתאים אותן לכלים שלהם.

ככל הנראה, התזמון הוא חלק מהסיפור. בתקופה האחרונה מתברר שמודלי AI מקצרים מאוד את הזמן שעובר מחשיפת פרצה ועד לניצול שלה. גם פרצות ישנות, שהיו ידועות ולא תוקנו, הופכות לכלי תקיפה זמין. על פי הדיווח, אחת הפרצות שנחשפו השבוע מכונה ככל הנראה PHP2Shell. אם תוקפים משתמשים ב-AI כדי לנצל פרצות מהר יותר, הצעד ההגיוני בצד המתגונן הוא להשתמש ב-AI גם כדי לתקן מהר יותר.

המשמעות

בפועל, הבעיה של ארגונים רבים אינה שהם לא יודעים שיש פרצה. הבעיה היא העבודה השחורה: לאתר את כל המאגרים שמושפעים ממנה, לעדכן כל אחד מהם, לבדוק ולהגיש. בארגון עם עשרות או מאות מאגרים, זה יכול לקחת ימים ואפילו שבועות. סוכן שעושה את העבודה הזו אוטומטית, ומשאיר לצוות רק את שלב האישור, עשוי לקצר את חלון החשיפה באופן משמעותי.

כדאי לזכור שהתוסף עונה על גל פרצות מסוים, ואינו פתרון אבטחה כללי. עדיין לא ברור כמה טוב הוא יעבוד בסביבות מורכבות שבהן עדכון גרסה עלול לשבור תלויות. מצד שני, הוא מציג תבנית עבודה שסביר שנראה יותר ממנה: חברות AI שמשחררות יכולות ייעודיות לסוכנים כתגובה מהירה לאירועי אבטחה, בקוד פתוח ובמהירות שבה התוקפים כבר עובדים.