AI 撬动 PHP2Shell 漏洞后，安全圈惊呼"黑色十月"来临
404 Media · rss · 2026-10-22
404 Media 长文盘点 AI 正在如何重塑攻防两端的安全格局。过去一个月，安全专家集体陷入恐慌，从约翰·霍普金斯密码学教授 Matthew Green 的"互联网是干柴"比喻，到部分 AI 从业者建议囤粮取现的 prepper 式言论。
关键事件链：
- Wiz、Calif 与 OpenAI 研究者用 AI 发现了影响大量互联网基础设施的 PHP 漏洞 PHP2Shell；随后 eMudhra、Node.js、GitLab、Plex、Railway、OpenCode 等接连爆出漏洞或安全事件。
- Cloudflare CEO Matthew Prince 披露：PHP2Shell 公开前 10 小时已有数千次利用尝试，公开后 45 分钟涨到数万，2 小时内数十万，现在已是百万级。
- Chainguard 因提前几小时发布修复被批破坏披露禁运，其 CEO 称是在前沿模型里输入"find bad vulnerabilities in PHP"独立找到了同一批漏洞，引发"漏洞是否异常易找/模型是否已吸收相关信息/是否存在泄露"的疑问。
- NSA、日本首相等多国政府敦促立即打补丁，4chan、部分 Wikimedia 服务和 Archive.org 一度主动下线更新。
核心论点：AI 不是因为"觉醒"而是因为把 brute force 互联网变得极其容易——每扇门都被拧了一遍把手，很多门本来就开着。OpenAI 主张研究开启了让防御方备灾的"Defender's Window"，但 AI 同时在缩短漏洞发现、披露与修复的全链条时间。长期隐忧是大量无法更新的历史网站可能被下线、被黑、永久消失，链接腐烂或导致大量互联网历史遗失。
「安全」频道最新
- 佛州总检察长请求法院叫停 OpenAI 未经第三方审批训练新模型 — imjustnewatai · 2026-10-23
- OpenAI 将参加 Prompt2PWN AI 黑客大会，与研究者面对面找漏洞 — OpenAIDevs · 2026-10-23
- AI 揭穿阴谋论研究风波落幕：Science 撤回关注声明，结论不变 — DG_Rand · 2026-10-23
- Chamath：银行将率先用服务条款封杀 AI Agent — nicolechirps · 2026-10-23
- Reddit 热议：安全研究本质上也是能力研究 — ResultBackground2450 · 2026-10-23
- Beam 对战 GLM 5.3 去审查版：10 轮攻防修补 96% 漏洞 — bigblueboo · 2026-10-23