一个跑在近70%网站上的开源编程语言，被翻出了两个可被利用的漏洞。美国到日本的政府官员都在警告企业：打补丁，或者考虑先把站点下线。

打开网易新闻 查看精彩图片

这两个漏洞出在PHP上。研究人员部分借助OpenAI的模型发现了其中一个，并据此做出了修复方案。OpenAI在周三的博客文章里说，这件事"凸显了AI能以互联网级的影响发现安全漏洞，但同样的能力也能帮攻击者快速开发攻击工具和漏洞利用"。

打开网易新闻 查看精彩图片

如果被利用，这两个PHP漏洞可以让恶意黑客在没有密码或其他凭证的情况下接管存在缺陷的Web服务器。由于PHP运行在大量互联网应用之下，这种访问权限足以让黑客接管网站、窃取敏感信息、篡改网页内容。

周三早些时候，已有网站主选择先下线。维基百科的部分服务和4chan都在其中，直到他们有时间为系统打上补丁。

安全研究机构Wiz的研究人员在文章中写道："这些发现属于PHP中发现的最严重漏洞之列，也可以说是软件史上最严重的漏洞之一。"他们同时指出，这两个缺陷在PHP中已存在数十年，但要证明黑客能够利用它们，需要"一条异常复杂的步骤链"。

安全圈对AI生成的漏洞报告一直持怀疑态度，其中不少最终被证明只是小毛病或误报。这次PHP的发现，可能迫使网络安全社区正视AI带来的现实。

Island的现场CTO迈克尔·莱兰（Michael Leland）在给Axios的邮件里说："防御方一直依赖'存在漏洞'和'可被利用'之间的时间差来争取打补丁的窗口。这个窗口正在迅速关闭。"

接下来几周，防御方处于戒备状态，防范可能出现的一波事件：网站和组织利用这两个PHP漏洞被入侵。

这件事的另一面是现代互联网的脆弱性——它高度依赖一批由志愿者维护的开源软件。AI驱动的漏洞发现，正把这一点照得更亮。