PHP崩溃事件显示AI如何让漏洞更易被利用

判断

PHP Foundation维护者与下游网站管理员须决定：是否把稀缺的补丁能力转向长期已知的PHP2Shell漏洞，在有效利用扩散前优先降低暴露，以常规维护为代价换取更快的暴露下降，尽管大规模利用尚未证实。

依据

Cloudflare分析发现，PHP漏洞公布后数小时内出现数百万次利用尝试，而PHP Foundation表示尚未看到PHP2Shell的成功利用，许多流传的利用程序似乎无效。加州研究人员于8月初首次识别PHP2Shell并创建利用程序，部分借助OpenAI的Patch the Planet项目使用前沿AI工具，并结合人类PHP专业知识；一些底层问题在2024年已被发现，但当时被认为过于复杂难以利用。OpenAI和Wiz用AI工具独立发现这些漏洞。Wiz的Sagi Tzadik说，该漏洞已为PHP团队所知多年，但未处理，因为攻击者——至少人类攻击者——无法利用它。微软本月安全更新包含创纪录的1,453个漏洞，美国银行聘请1,000名顾问修复Anthropic的Mythos发现的漏洞。Jake Williams说会出现更多长寿命漏洞，但低垂果实有限，且PHP的互联网暴露面异常广泛；Ryan Austin警告，没有模型能通过简单提示挖出所有漏洞，Niels Provos说，在人们用AI寻找一年多之后，发现这一个需要高技能团队。