AI助研究人员将PHP旧漏洞变成可用攻击手段

据WIRED援引Cloudflare的分析，PHP新漏洞公开后数小时内，就出现了数百万次利用尝试。这些统称为PHP2Shell的漏洞促使安全团队和网站管理员赶紧发布补丁。

目前尚无大规模入侵报告。PHP Foundation表示，尚未发现这些漏洞被成功利用；公开流传的许多攻击手段似乎也不起作用。WIRED没有说明受影响的PHP版本，也未提供补丁安装说明。

AI帮助研究人员找到突破口

安全公司Calif的研究人员最先发现这些漏洞，并于8月初构造出攻击手段；他们部分借助了OpenAI的Patch the Planet计划所提供的前沿AI工具。研究工作也依赖研究人员对PHP的专业了解。之后，OpenAI的研究人员和Google旗下Wiz的研究人员也分别借助AI工具独立发现了PHP2Shell漏洞。

部分底层问题早在2024年就已被发现，但当时被认为难以利用。Wiz研究员Sagi Tzadik表示，PHP团队多年来都知道这个漏洞，却没有处理，因为人类攻击者无法利用它。AI让这个此前不具备实用攻击条件的漏洞变得可利用。

压力加大，但不意味着黑客攻击自动发生

这一事件显示，AI能够加快漏洞分析和利用速度，给本就要处理大量漏洞的安全团队带来更大压力。WIRED指出，微软当月的安全更新涵盖创纪录的1,453个漏洞；美国银行则聘请了1,000名顾问，处理Anthropic的Mythos发现的漏洞。

WIRED采访的研究人员提醒，不要以为AI会发现所有旧漏洞。Calif研究员Ryan Austin表示，任何模型都无法靠简单提示找出所有漏洞；其他专家也强调，发现PHP漏洞需要一支专业团队。一位研究人员还指出，PHP广泛暴露于互联网，因而成为一个不同寻常的目标；这并不意味着所有旧软件漏洞都即将变得可利用。