Sam Altman警告AI改变漏洞攻防格局，单靠修补程序难防守

OpenAI首席执行官Sam Altman在10月21日斯坦福大学商学院的访谈中抛出一个让安全行业不安的判断：靠逐个修补漏洞来维持网络安全的时代正在走向终结。他直言，部分AI模型已经能够找出超出传统黑客威胁评估范围的软件缺陷，甚至涉及硬件层面的复杂问题，防守方必须用同类AI技术建立新的防御机制，而不是继续"发现一个、修补一个"。这番话并非呼吁企业停止安装安全更新，OpenAI同日发布的PHP安全公告仍明确要求相关机构优先部署补丁，Altman质疑的是这种被动防守模式能否跟上AI持续提升的攻击能力。他同时批评企业领导层和社会对这类风险的关注度明显不足。 这一警告并非空谈，同一周爆发的PHP2Shell漏洞给出了现实注脚。PHP开发团队10月21日公开两项核心引擎高危漏洞CVE-2026-109618和CVE-2026-109619，CVSS 4.0评分均为9.2分，攻击者在特定条件下无需登录即可在受影响服务器上执行代码，或读取进程内存中的敏感数据。由于问题出在PHP本身，即使网站程序没有明显漏洞，只要运行受影响版本就存在风险。安全公司Wiz指出，相关缺陷在PHP代码中已潜伏超过10年，研究团队借助Wiz Atlas、Google Gemini 4 Argon和OpenAI GPT-5.6 Sol协助寻找并验证攻击方法，在WordPress、Drupal和Joomla测试环境中成功演示了攻击。更值得警惕的是，亚马逊威胁情报团队披露其MadPot蜜罐早在10月17日就录得疑似PHP2Shell攻击尝试，比公开披露早4天；补丁发布后数小时内，新的攻击程序和更多扫描活动随即出现。亚马逊因此建议企业将面向互联网的重大漏洞修补时限从数天压缩到数小时。 事件的影响迅速外溢到公共服务层面。路透社10月23日报道，日本多家企业和政府机构一度暂停网上服务进行安全维护，软银甚至短暂停用了部分手机紧急警报服务，包括地震和海啸通知，日本政府随后宣布组建团队，用AI模拟网络攻击并识别系统弱点。同期Node.js也发布紧急更新，修复Brotli解码器的内存越界写入问题（CVE-2026-111497），该漏洞可能导致远程执行代码，由OpenAI Codex Security研究人员通报，修复已纳入Node.js 22.23.4、24.22.1和26.12.1版本。PHP官方目前提供8.5.12、8.4.27、8.3.36和8.2.35安全版本，并明确表示没有能全面替代更新的配置层防护手段。对跨境电商卖家和出海团队而言，这意味着托管环境、建站系统和插件生态的PHP版本需要尽快核查，服务器日志也要排查异常；Web应用防火墙能在更新窗口期降低部分风险，但替代不了打补丁本身。Altman提出的新防御模式尚待落地，眼下最实际的做法仍是加快修补节奏，同时强化资产盘点、异常检测和自动化应急能力。