The PHP Meltdown Shows How AI Makes Bugs More Exploitable

PHP崩溃事件揭示AI如何使漏洞更具可利用性 | WIRED

Lily Hay Newman

Matt Burgess

安全

2026年10月24日 上午8:00

PHP崩溃事件揭示AI如何使漏洞更具可利用性

安全研究人员使用AI工具帮助发现了PHP网络脚本语言中数年未被发现的漏洞。随后，AI辅助的攻击开始出现。

照片插图：WIRED STAFF；Getty Images

保存此故事

欢迎阅读《内核恐慌》（Kernel Panic），这是Lily Hay Newman和Matt Burgess从隐私和数字安全新世界内部发出的每周时事通讯。要每周接收此时事通讯，请在此处注册。

本周，随着安全团队和网络管理员争相修补新公开的PHP漏洞，犯罪黑客迅速尝试在野外利用这些缺陷。根据Cloudflare的分析，漏洞公布后数小时内就出现了数百万次利用尝试，这并不令人意外，因为广泛使用的AI工具使攻击者能够更快地利用漏洞。

迄今为止，大规模受害者接管和数据泄露的噩梦场景尚未发生。PHP基金会表示，尚未发现任何针对被称为PHP2Shell的漏洞的成功利用，许多公开传播的潜在利用方法似乎无效。然而，本周混乱中AI最有趣的作用可能是高级模型如何帮助研究人员发现这些漏洞的实际利用方式，这些漏洞至少部分已被知晓多年。换句话说，AI将历史漏洞转化为当前危机。

那么，我们是否即将被一波持续数十年的关键漏洞冲击？

安全公司Calif的研究人员是最早在8月初识别PHP2Shell漏洞并创建利用方法的团队——部分使用了OpenAI的“修复地球”（Patch the Planet）计划中的前沿AI工具，但也结合了PHP及其动态和弱点的人类专家知识。一些根本性问题早在2024年就被发现，但当时被认为过于复杂而难以利用。在Calif发现之后，OpenAI和谷歌旗下安全公司Wiz的研究人员独立使用AI工具发现了PHP2Shell漏洞。

Wiz的安全研究员Sagi Tzadik表示：“该漏洞已被PHP团队知晓多年，但由于无法被攻击者利用——至少对人类攻击者而言——因此未被修复。”

没有软件是完美的。即使是最关键的基础数字工具，也难免存在缺陷，但AI模型能力的扩展使分析和潜在利用漏洞的速度加快。这给资源不足的IT团队、开发人员和管理员带来了更大压力。仅本月，微软的安全更新就包含了创纪录的1,453个安全漏洞。与此同时，美国银行最近聘请了1,000名顾问，以修复Anthropic的Mythos发现的缺陷。不过，安全研究人员强调，AI最终并没有做任何新事情，而只是放大了漏洞发现和协调披露的现有动态。

“我们肯定还会看到更多这类长期存在的漏洞，这些漏洞在过去十年的每个软件版本中都存在，”猎人策略公司研究与开发副总裁兼前NSA黑客杰克·威廉姆斯表示，“但我认为这类显而易见的漏洞已经不多了。除了PHP之外，几乎没有其他工具具备如此广泛的覆盖范围。这是一个非常庞大的攻击面——大多数其他工具在设计上并不暴露在互联网中。”

研究人员还指出，即使使用前沿模型，大多数复杂的AI辅助攻击示例仍然需要人类专业知识。本周，首次发现PHP漏洞的加州研究员瑞安·奥斯汀写道：“没有任何模型仅通过简单提示就能轻松发现‘所有漏洞’。至少目前还做不到。”

简而言之，安全工程师兼研究员尼尔斯·普罗沃斯表示，每个人都可以稍微冷静一些。“说实话，我并不太担心，”他谈到AI发现大量新近可利用的历史漏洞或需要AI才能实际利用的新漏洞时说道，“人们现在使用AI进行搜索已经有一年多时间了，要发现这个漏洞需要一个高度专业化的团队。我想我们之后会看到我是否完全错了，但我怀疑不会。”