OpenAI称其AI协助发现PHP严重漏洞并推应对框架

OpenAI 宣布，其 GPT-5.6 Sol 模型协助发现了开源网络编程语言 PHP 的严重安全漏洞。随后，OpenAI 牵头维护者、研究人员和安全机构组成联盟，进行了为期两个月的处置，并针对未来可能大幅增加的「AI 挖掘漏洞」提出了一套五阶段响应框架。

安全公司 Calif 通过 OpenAI 发起的「修补地球」（Patch the Planet）计划，利用 GPT-5.6 Sol 发现了其中一个漏洞；云安全公司 Wiz 则独立发现并提交了全部两项漏洞。这两项漏洞被统称为「PHP2Shell」，能让攻击者在无需密码的情况下，远程在受影响服务器上执行恶意代码并接管系统。Wiz 研究人员表示，这是 PHP 乃至整个软件史上最严重的漏洞之一。

政府紧急预警，科技巨头联动响应

漏洞曝光后，美国国家安全局（NSA）敦促相关机构立即安装更新，若无法及时打补丁则应将系统离线。美国联邦调查局（FBI）以及新加坡、英国、澳大利亚、加拿大和欧盟的监管机构也发布了类似警告。日本首相亦公开呼吁网站所有者尽快修复。

各大科技公司迅速介入防护：

• 亚马逊：其 MadPot 威胁感知系统在漏洞公开前便捕捉到了利用尝试，但攻击者获知漏洞的具体途径尚不明确。
• 谷歌：旗下 Wiz 团队利用 AI 对漏洞展开调查，并借助 Gemini 模型辅助测试攻击与验证补丁效果。
• Cloudflare：已在防火墙规则中加入了针对性防护。

OpenAI 总裁格雷格·布罗克曼（Greg Brockman）透露，联盟原计划于 10 月 22 日披露细节，但因信息提前泄漏，PHP 维护团队提前一天紧急发布了补丁。维基媒体基金会确认，维基百科此前出现的短暂访问中断正与部署该补丁有关。

OpenAI 提出五阶段漏洞披露框架

为应对 AI 时代可能爆发的漏洞发现潮，OpenAI 提出了一套标准化的五阶段处置流程：

1. 上游验证与修复：确认漏洞有效性并在核心代码库完成修复；
2. 提前通报受影响方与政府：为关键机构留出准备时间，并引入白宫超级情报部队、国家网络总监办公室及 CISA 等政府部门；
3. 下游生态协同：协助下游衍生产品同步准备安全更新；
4. 公开发布补丁与指引：在补丁上线的同时向公众发布防护建议；
5. 按权限定向预警：由开源维护团队根据机构的安全职能、响应耗时及保密能力，决定早期通知名单。

此外，OpenAI 承诺出资 10 亿美元，向维护关键服务但资源匮乏的机构补贴其安全工具 Daybreak 的使用成本。OpenAI 表示，PHP2Shell 绝非个例，目前团队已借助 AI 发现了多项严重漏洞并正在协同修复，预计未来数月内此类由 AI 挖掘的高危漏洞将迎来激增。