AI 在 PHP 高危漏洞的发现与修复中扮演了关键角色。这个漏洞潜伏多年，影响全球约 70% 的网站，OpenAI 的模型先由安全研究员引导发现部分版本，随后其内部模型自主找到了完整漏洞。Cloudflare 在漏洞公开前已收到机密披露并部署防护，但漏洞公开后仍遭遇每分钟数百万次的攻击尝试。Greg Brockman 提出「防御者窗口」概念，并引发关于政府或授权防御者远程修补互联网漏洞的讨论。

AI 如何找到潜伏多年的 PHP 漏洞？

Calif 的安全研究员使用 OpenAI 的模型，在研究员自身专业知识和直觉的引导下，于 8 月发现了该漏洞的一个版本。一个月后，OpenAI 使用最新的内部模型，在完全自主的情况下独立发现了更完整的版本，也就是最终公开的漏洞全貌。Greg Brockman 本人曾在 2010 年于开源软件中发现过安全漏洞，他回忆当时需要追踪一个小函数，其所有调用点都受到保护，但后来有人添加的代码没有以正确方式保护，这种侦查工作需要跨多个学科的专业知识并保持大量上下文，而 AI 模型能处理比人更多的上下文，这正是其价值所在。

关于 AI 与研究员各自贡献的比例，Greg 表示 Calif 方面研究员的深度专业经验约占 75% 到 80%，而 OpenAI 内部版本则是设置环境后，用最强大的模型配合大量算力，自主找到了完整漏洞利用方式。

漏洞公开后攻击有多猛烈？

Cloudflare CEO Matthew Prince 强调，AI 是这次事件中的真正英雄。这些漏洞已存在相当长时间，极其严重，PHP 作为底层软件运行在全球约 70% 的网站上。很难判断黑客或国家行为者此前是否已接触并利用了这个潜伏多年的漏洞。OpenAI 和研究员的做法非常负责，他们发现潜在 bug 后向行业和 Cloudflare 等公司负责任地披露，Cloudflare 在幕后努力确保客户和互联网在漏洞公开前得到保护。漏洞不是 AI 创造的，是 AI 找到了原本就存在的 bug。

漏洞公开后，攻击者甚至不需要使用 AI。Matthew 说明，只要知道问题所在，向 Web 服务器发送几个请求就能接管服务器。目前黑客正以惊人速度利用此漏洞，Cloudflare 全网每分钟看到数百万次利用该漏洞的攻击尝试。他强烈建议所有在服务器上运行 PHP 的用户立即免费更新到最新版本，这是唯一能保证安全的方法。

为什么说 AI 让互联网更安全？

Matthew 认为，OpenAI 团队在几个月前发现漏洞后，以机密方式向 Cloudflare 披露，Cloudflare 得以提前部署防护，使漏洞公开时尽可能多的互联网受到保护。OpenAI 不仅与 Cloudflare 合作，还与 WordPress、PHP 社区等所有能帮助保护系统的机构协作。他乐观地表示，虽然坏人可能用 AI 找漏洞，但当前好人拥有更多资源，能使用 OpenAI、Anthropic 等公司提供的优秀工具，正在审查代码并发现大量 bug，互联网实际上因这些工作而变得更安全。

Greg 提出「防御者窗口」概念：前沿模型领先于广泛可用的能力，实验室和能接触尖端能力的人可以比其他人更早发现漏洞、窥见未来。公司若用前沿模型保护自己，就能保持领先于广泛可用能力和攻击者。这个窗口对每个公司、每个防御者都至关重要。同时，软件中存在大量多年积累的技术债，AI 会发现越来越多这类漏洞。

谁有权远程修补互联网？

Greg 在 X 上发文引发争议，他建议政府或「授权防御者」扫描互联网寻找易受攻击的系统，并在某些情况下直接远程修补。他承认这引发大量关于权限的问题：谁决定该这样做，界限在哪里。他援引先例：当僵尸网络盛行时，FBI 通过法院命令清除僵尸网络中的恶意软件，因为被攻击影响的不仅是网站所有者，整个互联网的健壮性和安全性都会下降。如果没有人在补丁应用或恶意活动通知方面采取行动，互联网会变得更脆弱。

Greg 表示他们还没有答案，但核心问题是：随着发现的漏洞规模增加，任何人越来越难确保自己应用了所有补丁，整个系统需要如何改变？以 PHP 为例，他们花了两个月时间进行非常手动的流程，与许多合作伙伴和政府电话沟通才妥善落地。他们还在处理其他几个漏洞，并认为社会需要建立某种流程来保持互联网安全，确保防御者占据优势。

DOTS 的实际使用情况如何？

Greg 透露 DOTS 的使用量正在「曲棍球杆式」增长，令人兴奋。他分享了一个例子：一位朋友的 DOTS 注意到收件箱中的钓鱼邮件，提醒她不要打开，同时她的管理员也有邮箱访问权限，DOTS 也提醒了管理员。他认为这种主动式 AI 在个人生活和工作生活中守护用户的形式，能帮人省钱、提高生产力，这是人类无法做到的，因为人无法持续不断地守护。他相信 AI 能让人更高效、让工作更愉快、帮助人们过更充实的生活。

本文整理自 Bloomberg Talks 的节目《OpenAI Foundation Co-Founder & President Greg Brockman and Cloudflare CEO Matthew Prince Talk AI & Cybersecurity》。