AI 找漏洞高度趋同:php2shell 漏洞被不同团队先后用 GPT 复现

voooooogel · x · 2026-10-26

voooooogel 在与 Soareverix 关于 AI 网络安全风险的辩论中指出一个关键事实:模型发现漏洞的方式是高度相关的,而非随机撒网。案例是 php2shell——一个团队发现该 PHP 漏洞后,另一组人听说此事,直接让 GPT「在 PHP 里找一个严重 bug」,结果找到了完全相同的漏洞。

这意味着攻击者之间的「撞洞」会系统性发生,防御方面临的不是分散风险,而是所有模型沿相似推理路径集中命中同一批漏洞。他同时反驳「漏洞池是固定的」这一乐观论:模型通过 CoT 以模式坍缩的方式遍历漏洞池,防御必须跑得更快——但建东西的钱远多于拆东西,所以防御方有能力做到。