PHP崩溃事件表明AI使漏洞更易被利用

一场围绕PHP语言底层漏洞的攻防战本周在互联网上快速升温。Cloudflare的监测数据显示，在漏洞细节公开后的数小时内，针对这些漏洞的恶意利用尝试就达到了数百万次。这组漏洞被统称为PHP2Shell，涉及PHP这一支撑全球大量网站运行的基础性编程语言。PHP基金会表示，目前尚未发现有攻击者成功利用这些漏洞，许多在网上流传的利用代码看起来也并不有效，大规模网站被接管和数据泄露的最坏情况暂时没有出现。 真正值得关注的，是AI在这次事件中扮演的角色。据安全公司Calif的研究人员介绍，他们在8月初首次发现PHP2Shell漏洞并构造出利用方式，过程中部分借助了OpenAI“Patch the Planet”计划中的前沿AI模型，同时也依赖人类专家对PHP运行机制和弱点的深入理解。其中一些底层问题早在2024年就已被识别，但当时被认为过于复杂、难以实际利用。在Calif公布发现后，OpenAI和谷歌旗下安全公司Wiz的研究人员又各自借助AI工具独立复现了这些漏洞。Wiz研究员Sagi Tzadik直言，PHP团队多年前就知道这个漏洞的存在，但因为人类攻击者无法利用它，所以一直没有修复。换句话说，AI把一个沉睡多年的历史漏洞，变成了当下的现实危机。 这一变化给防守方带来了更直接的压力。微软本月的安全更新一次性修复了1453个漏洞，创下历史纪录；美国银行近期则专门聘请了1000名顾问，用来处理Anthropic旗下Mythos模型发现的缺陷。对于资源本就紧张的中小企业和IT团队来说，跟上漏洞修复节奏正变得越来越困难。 不过多位安全研究者也提醒，不必过度恐慌。Hunter Strategy研发副总裁、前美国国家安全局黑客Jake Williams认为，未来确实会看到更多潜伏在各类软件版本中长达十年的“长寿漏洞”被挖出来，但这类低垂果实数量有限，像PHP这样暴露在公网、覆盖面极广的攻击面并不多见，大多数工具在设计上并不直接面向互联网。研究者同时强调，即便是最先进的模型，目前大多数复杂的AI辅助黑客案例仍然离不开人类专业知识的配合。最先发现PHP漏洞的Calif研究员Ryan Austin本周也写道，没有任何模型能靠简单提示词就挖出“所有漏洞”，至少现在还不能。安全工程师Niels Provos则表示，他个人并不太担心AI会挖出大量突然变得可利用的历史漏洞，毕竟人们用AI排查漏洞已经一年多了，真正完成这类发现仍然需要一支技术过硬的团队。