「存在感太低所以安全」的时代结束了。

10月21日晚，如果你习惯在社交媒体浏览信息，或许会留意到一场反常的网站关停潮：几乎同一时段，全球多个国家和地区大量关键基础设施网站相继发布通知，临时暂停服务。

芬兰政府关停全部对外网络服务；荷兰国家网络安全中心下线自身官网，鹿特丹港、荷兰足协、国内五大政党官网以及多家医院的平台紧随其后；法国内政部要求各省政府网站临时下线，德国联邦IT服务商关停多处站点，比利时外交部、维基媒体基金会、任天堂也陆续暂停部分业务。

但这些站点并非遭到黑客入侵，而是主动选择预防性关闭。

一切的源头，是PHP的两处高危漏洞。PHP是目前应用最广泛的网站后端编程语言，W3Techs的数据显示，在能够识别后端技术的网站里，大约七成都依托PHP运行。这两个漏洞被合称为PHP2Shell，攻击者无需账号登录，就存在远程接管服务器的可能。

率先定位到这两处缺陷的，是AI。

依靠AI挖掘漏洞早已不是新鲜事，不过根据现有公开信息，这是首次由AI发现的漏洞，迫使多国政府在同一天紧急下线官网。它宣告网络安全圈内一条不成文潜规则的终结：长久以来，不少漏洞之所以没有酿成事故，仅仅是因为发起攻击的成本太高、流程繁琐，攻击者会主动放弃。

PHP官方将这两个漏洞的危险等级评定为9.2分（满分10分），安全厂商watchTowr直接给到满分。漏洞位于PHP底层内存管理模块，和网站自身代码写得好坏没有关系。PHP官方提示，所有处理网页请求的PHP环境都会受到波及；Cloudflare的监测结果显示，受影响版本甚至可以追溯到十多年前的PHP 5.4。PHP基金会的Volker Dusch将它和2014年的心脏出血漏洞对标，称这是十余年来最严重的PHP安全隐患。

让各国应急团队高度紧张的，是漏洞披露前后混乱的48小时。按照行业惯例，漏洞会进入保密期，软件厂商备好补丁之后，再和漏洞发现方同步对外公开。

10月20日，相关消息提前出现在Hacker News以及地下论坛BreachForums，watchTowr当天就确认漏洞真实可利用。当晚PHP官方紧急调整计划，补丁提前一天，在21日14:00（UTC）正式发布。

补丁落地之前，探测与攻击尝试就已经启动。Cloudflare的CTO Dane Knecht在补丁上线前近六小时发文，表示已经观测到早期攻击行为。美国国家安全局、英国国家网络安全中心、欧盟网络安全机构CERT-EU给出了几乎一致的处置建议：来不及完成补丁更新的系统，优先下线避险。这才有了全球多地公共网站集中关停的一幕。

## 幽灵漏洞复活
PHP2Shell最特殊的一点在于，它并不是新近诞生的缺陷。

漏洞溯源可以回到2004年。安全研究员Stefan Esser在二十年前就发现过PHP内存耗尽场景下的同类问题；2020年有人提交相关bug反馈，却没有得到重视；2024年，一场第三方资助的PHP安全审计再次触碰到同类缺陷，只是研究人员没能证实它可以被利用，漏洞最终没有被修复。

它在PHP代码库内沉寂十余年，多次被研究者察觉痕迹，却始终没有人打磨出一套稳定可用的攻击方案。不是没有人想到利用方式，而是整个调试过程过于枯燥繁重。独立作者Nick Rogers分析，想要把这类漏洞转化成有效载荷，需要花费数周的手工调试，过去很少有人愿意承担这份成本。他把这种状态命名为security by exhaustion，依靠攻击者精力耗尽，来换取系统安全。

互联网底层大量老旧代码，都处在这种微妙的平衡之中：理论上存在安全缺陷，但攻击链路搭建门槛极高，于是长期搁置。

打破这个平衡的，是OpenAI今年6月推出的Patch the Planet项目：投入资金与模型资源，邀约安全团队审计全球广泛使用的开源软件，Calif便是参与方之一，审计目标锁定PHP。

8月1日，Calif研究员Ryan Austin借助AI启动审计工作。在这次任务里，AI既是协作审计员，也是自主执行的智能agent：梳理PHP内核源码、追踪程序执行路径，第一个漏洞的核心缺陷，正是agent在内核代码中找到的。审计启动短短数日，第一个问题就被识别出来。

8月11日，Calif向PHP团队提交漏洞报告。团队引导AI提炼该漏洞的特征模式，生成一份可复用的检索规则文件，专门用来搜寻同类型缺陷，第二个漏洞，就是依托这份文件被找到的。AI在挖出一处漏洞后，可以把对应的排查思路封装复用，持续寻找同类隐患。

值得一提的是，根据OpenAI官方博文说明，Calif本次没有使用Daybreak这类专业攻防工具，也没有调用Astra等顶尖旗舰模型，选用的是成本更低的GPT-5.6 Sol。

几乎同一时间段，另一家安全公司Wiz也独立挖到了这组漏洞。8月19日，Wiz研究员结合自研工具Wiz Atlas、Google Gemini 4 Argon以及GPT-5.6 Sol，发现首个漏洞；次日在Drupal上验证远程代码执行能力，第三天在WordPress平台复现成功。

Wiz的博客记录，大模型帮助团队复盘失败案例、反复调整利用链路，短短数小时内，攻击就能在多款主流应用上稳定跑通。团队总结：一名研究员一周完成的工作量，过去需要顶尖团队耗费数月。Wiz将本次突破的主要功劳归于Gemini 4 Argon，Google DeepMind的Gemini安全负责人Raluca Ada Popa也表示，这一案例直观展现了前沿AI重塑网络防御格局的潜力。

两家安全厂商、三款不同AI模型，三周内从两条独立路径发现同一组高危漏洞。OpenAI与Google各自强调自家模型的价值，也侧面印证，AI漏洞挖掘已经成为头部AI厂商正面竞争的赛道。

AI带来的改变，不止是「能不能找到漏洞」，更是「值不值得投入资源去利用漏洞」。当漏洞挖掘、验证、多环境适配的成本，从顶尖团队数月工期压缩至单人一周甚至数小时，从前那些因成本过高被放弃的漏洞，全部具备了攻击价值。Nick Rogers提出，AI第一次把漏洞攻击的边际成本推向接近零。这也解释了为什么两家团队会在相近时间撞上同一个漏洞。Calif特别说明，发现阶段没有动用特殊资源，也没有使用稀缺模型，防守方可以用公开模型找到漏洞，攻击者同样可以。

回看近两年的事件脉络，能清晰看到风险逐步升级的轨迹。2024年11月，Google公布Big Sleep项目在SQLite中发现未公开漏洞，被视作AI首次在大规模商用软件里找到可利用零日漏洞；今年4月，Anthropic披露Claude Mythos预览版在测试中检出数千个零日漏洞，其中包含一处在OpenBSD里潜伏27年的缺陷，因为风险过高，该模型并未对外开放，仅定向供给四十余家基础软件维护机构；7月，AI发现的WordPress漏洞链wp2shell公开，随即被攻击者大规模利用。

从AI具备漏洞挖掘能力，到高危模型限制开放，再到漏洞迫使多国公共站点关停，AI对网络安全的冲击，已经走出安全行业的小圈子，变成全社会都能感知到的现实。

OpenAI在博文中也客观提及，用来发现漏洞的这套能力，同样可以被攻击者用来快速开发攻击工具。这早已不是理论猜想。PHP2Shell公开当天，watchTowr研究员Jake Knott表示，在蜜罐服务器上捕获到的攻击尝试里，部分工具脚本由AI辅助编写。目前虽然还没有稳定成功的攻击案例，但很难长期维持现状。

近一年，攻击者对AI的运用快速迭代。2025年11月，Anthropic披露，一个带有国家背景的组织依靠Claude Code入侵约30个目标，八成到九成的攻击动作由AI自主执行。今年5月，Google威胁情报团队监测到攻击者依托AI生成可用零日攻击，准备发起大范围入侵，被提前拦截，这被认定是攻击者首次借助AI完成零日漏洞武器化。Google威胁情报首席分析师John Hultquist提到，AI不止可以批量审计代码，还能产出可用攻击载荷，而这在过去是极高的技术门槛。

9月Anthropic的威胁情报报告展示了规模化攻击的新形态：疑似关联俄罗斯情报机构的组织，利用AI agent在触发告警后自动改写恶意程序，目标覆盖二十余家政府和国防单位；一组中文操作者搭建AI智能体集群开展侦察与漏洞挖掘，单条工作流一个月产出十余个疑似零日漏洞；独立黑客依靠AI生成WordPress零日利用程序，在42个目标中拿下至少14台设备。

Anthropic判断，AI把攻防成本压力重新转移到防守一方。从前复杂入侵需要一整支团队协同，现在单人搭配多个AI agent就可以落地。

## 防守方的时间窗口
PHP2Shell对外披露当天，OpenAI做出预判：接下来数月，同类高危漏洞的披露数量会快速上涨。

数据已经印证这个趋势。漏洞消息外泄前一日，10月20日，Google推送Chrome 156正式版，该版本一口气修复353个安全漏洞。一年前的Chrome 141、142版本，修复数量仅为21个和26个，单版本漏洞修复量涨幅超十倍。

漏洞报告者的构成也发生变化。Chrome 156里6个最高等级严重漏洞，4个由Anthropic研究员Xinyang Ge提交，其中一个明确标注Claude协助挖掘，还有1个来自OpenAI Codex Security。AI厂商的名字，开始批量出现在全球普及率最高浏览器的安全公告中。

漏洞数量激增的首要原因，是漏洞挖掘经验可以批量复制。PHP2Shell项目里的检索规则文件就是典型例子：过去顶尖研究员的经验很难传递扩散，如今可以封装成文件，分发到大量agent并行检索。

互联网底层还沉淀着海量未被发掘的隐患。PHP、浏览器内核、操作系统、各类开源库，积攒了数十年的老旧代码。像PHP2Shell这种早被人察觉、只是利用难度巨大的漏洞，没有人统计过总量。曾经依靠攻击成本形成的天然防护屏障，正在消失。

这也是各大AI机构持续加码漏洞研究的动因。Anthropic定向开放Mythos给基础软件维护机构，OpenAI在Patch the Planet投入价值十亿美元的算力额度，Google推进Big Sleep项目，Wiz也押注Gemini能力。头部厂商将AI漏洞挖掘作为展示模型实力的主战场，但一个残酷的事实是：攻击者手中可用的AI，和防守方使用的往往是同代模型。

OpenAI将漏洞被发现到攻击大规模爆发的区间，称为防守窗口。PHP2Shell原本预留了两个多月的缓冲时间，一次消息提前泄露，直接把窗口压缩到数小时。AI让漏洞发现速度大幅提升，但补丁部署依旧需要逐台服务器落地。PHP官方仅为8.2至8.5四个版本提供正式修复包，安全厂商Mallory统计，补丁发布前一天，互联网上仍有约88万台服务器运行PHP 8.1以及更早的老旧版本。对这些设备而言，「理论有漏洞、现实没人打」的侥幸安全感，已经不复存在。

由AI挖掘的漏洞引发多国政府网站集体下线，这是第一次，但大概率不会是最后一次。

极客一问
AI挖漏洞，最后是防守方赢，还是攻击方赢？