PHP2Shell漏洞：人工智能如何改变网络安全的游戏规则？

PHP2Shell危机：行业早期的警报

PHP编程语言中两个被命名为PHP2Shell的严重安全漏洞引发了全球技术界的警报。这些漏洞导致政府、教育和医疗机构的网站和服务暂时中断，因为它们允许攻击者在受影响的服务器上远程执行恶意代码。

Cloudflare和Automattic等各大科技公司迅速采取了保护措施，而PHP项目则为受支持的版本（8.2至8.5）发布了紧急修复程序，并对旧版本提供了有限的支持。然而，危机的核心不仅仅是一个“软件漏洞”；这一事件标志着人工智能时代漏洞发现方式的一个转折点。

人工智能：一把双刃剑

调查显示，这些漏洞是使用先进的人工智能模型发现的，其中Calif公司使用了GPT-5.6 Sol模型，而Wiz公司则独立发现了这些漏洞。在Chainguard公司使用人工智能通过一条简单的指令“查找PHP中的严重漏洞”在约定的时间之前发布了修补后的容器镜像（Container images）之后，这一发现引发了广泛争议。

PHP基金会批评这种行为“不专业”，因为它破坏了持续两个月的安全协调工作，这可能会给攻击者在所有人更新系统之前利用该漏洞的机会。

为什么这条新闻很重要？

这一事件代表了网络安全领域的“新常态”，人工智能工具现在能够扫描数百万行代码并发现隐藏了数 Jahrzehnte（数十年）的漏洞。真正的挑战不在于发现，而在于响应：

资源差距：依赖志愿者的中小型开源项目没有足够的资源来处理自动发现的大量漏洞，这可能导致开发者精疲力竭，许多人放弃他们的项目。

修复的复杂性：发现漏洞是最容易的部分；编写一个不会破坏兼容性或影响复杂系统中性能的修复程序是一项需要深厚人类专业知识的工作，这解释了为什么尽管发现了漏洞，某些修复仍被延迟。

企业责任：专家认为，负担应该转移到依赖这些软件的公司身上，他们应该资助安全审计流程并支持开发者，而不是完全依赖他们的志愿工作。

PHP2Shell事件只是一个开始；随着人工智能“挖掘”漏洞的能力不断增强，响应速度和网络安全生命周期管理将成为未来软件基础设施实力的真正标准。