AI破解：十年PHP漏洞，人类审计员竟未发现

潜伏十余年而未被发现的缺陷

PHP——一种支撑着互联网相当大部分内容的服务端编程语言，包括 WordPress、Facebook 早期基础设施以及无数企业应用——中存在的一个高危漏洞，是由以人类安全研究员根本无法企及的速度运转的 AI 系统发现的。这一发现于 2026 年 10 月 21 日公布，其影响远超单一语言范畴。

负责支持该语言开发的 PHP 基金会确认，该漏洞已存在超过十年。如果按照传统方式由人工审计团队来排查，识别同一缺陷至少需要数月时间。相反，一名研究人员借助 AI 工具，仅用大约一周便完成了这次发现。

两个敌对 AI 如何独立找到同一个漏洞

根据 OpenAI 和 Google 披露的信息，两家公司均部署了各自最新的 AI 模型对 PHP 代码库进行审计，并独立得出了相同的漏洞结论。

OpenAI 的 GPT-5.6 Sol 被美国安全公司 Curity 用于审计，于 8 月 1 日发现了该缺陷，并在 8 月 11 日向 PHP 开发团队报告了此问题。与此同时，Google 旗下安全公司 Wiz 也使用 Gemini 4 Argon 结合 OpenAI 模型进行了自己的审计，得出了相同结论。两个由不同数据训练、通过不同组织渠道运行的 AI 系统之间相互印证，为这一发现提供了极强的可信度——这不是某个单一模型异常所导致的误报。

发现的速度本身就是最大的看点。这样一种量级的漏洞潜伏在自上世纪 90 年代末以来就已受到数千名开发者审视的代码中，按传统模式，只有在攻击者在野外实际利用之后才会浮出水面。而这一次它被主动发现——且将原本需要人类团队耗费数月时间的审计周期压缩至大约一周——标志着软件安全审计方式发生了一次真正的转变。

PHP 基金会为何任由漏洞滋长

也许最令人心惊的披露来自 PHP 基金会自身。该组织承认，早在 2024 年就已检测到指向该缺陷的预警信号，却选择延后处理。原因是对修补该漏洞可能给 PHP 庞大代码库引入其他缺陷的担忧。

这种谨慎虽可理解，却最终演变为结构性失误。PHP 基金会公开承认，决策流程的缺陷以及严重的人力短缺是罪魁祸首。换言之，该组织缺乏足够的执行能力去快速应对一个早已知晓的问题——而 AI 毫不犹豫地填补了这一空白。

这一声明对整个开源生态具有深远意义。互联网所依赖的许多语言和框架均由资源匮乏的基金会和志愿者社区维护。当一家资金充足、人员到位的组织如 PHP 基金会都难以对已知威胁做出及时响应时，行业其余部分面临的现实将更加严峻。

受影响范围：数千万级系统

全球规模最大的网络安全公司之一 Palo Alto Networks 报告称，通过对互联网进行扫描，共识别出超过 2260 万台系统可能受到该漏洞影响。这一数字涵盖了从小型企业网站到大型企业基础设施的各个层面。

在日本，影响尤为严重。该漏洞已在乐天（Rakuten）、气象厅、能源巨头住友（Sumika）以及数千个日本政府网站运营的系统中被利用或具备被利用的可能。这些并非边缘机构——它们代表了处理海量个人和财务数据的關鍵基础设施和 major 商业平台。

运营维基百科的 Wikimedia 基金会采取了罕见举措，主动提前关闭了多项面向开发者的服务。这种防御性行动——在尚未确认任何入侵的情况下就已经实施——彰显了安全团队对此次发现的高度警惕。

对软件供应链意味着什么

直接的启示是：AI 驱动的安全审计在特定类型的代码分析方面可以超越人类能力。但更深层的含义关乎依赖关系。全球互联网的运行建立在少数几项基础技术之上——PHP、Linux、Python、JavaScript 运行时——而这些技术的维护组织往往与其支撑的规模极不匹配。当一项存在十年之久的缺陷都能在其中一个基础技术中被忽视，便暴露了一条极其脆弱的链条——从开源维护者延伸到每一个依赖其成果的企业和政府机构。

PHP 基金会自身将延迟定性为"结构性失败"，这是一个重要信号。它表明问题不仅仅在于招聘短缺，而是一个系统性问题：当前开源维护的经济模式并未奖励现代威胁所要求的快速、高强度的安全响应能力。

赢家与输家

OpenAI 和 Google 均因此次事件提升了信誉。它们证明了其 AI 模型能够在大规模场景下完成复杂、高风险的安全分析——这种能力将加速市场对 AI 增强型安全产品需求的到来。Curity 和 Wiz 这两个部署模型的公司也从曝光度中获益。

对于运行 PHP 的数亿开发者和组织而言，权衡正在发生变化。那些及时升级的将降低自身风险；而那些延后的，则面临自身安全态势与 AI 审计所确立的新基准之间日益扩大的差距。

输家虽然不够显眼，但数量庞大：包括数据存储在漏洞系统中的用户、持续在资源不足条件下工作的开源维护者，以及如今需要与机器竞争同一样发现的安全社区。

加速发现时代已来

Palo Alto Networks 首席产品与技术官 Lee Klarich 将此次事件视为风向标。“最先进的 AI 正以前所未有的速度揭示关键漏洞，“他表示，“这标志着一个网络威胁迅速增长的时代的开端。”

这种判断很可能正确。PHP 漏洞的出现并非因为有人停止关注——而是因为现代代码库的体量和复杂度已经超出了人类审查者所能覆盖的范围，即便他们全神贯注。AI 不会疲劳，它能够比任何审计团队更快地扫描数百万行代码中的模式。而正如 PHP 案例所展示的，它之所以能找到人类遗漏的东西，并非偶然，而是设计的必然。

接下来会发生什么，取决于那些维护互联网基础软件的组织能否填平让这一缺陷存活十余年的资源鸿沟。AI 工具已经存在。问题在于，开源背后的人类结构能否足够快速地做出适应。