AI如何将22年沉睡PHP漏洞演变为48小时全球危机

时钟的滴答声变短了

一个漏洞在 PHP 中潜伏了二十二年，无人察觉。原因是没人能走通它所要求的那条攻击链——那条链路的复杂程度如此之高，即便是经验丰富的安全研究人员也难以在实际层面穷尽其可能性。

然后，AI 来了。

2026 年 10 月，这个休眠已久的漏洞成为了网络安全圈内部已经称之为"黑色十月"事件的核心。漏洞披露后短短四十八小时内，恶意行为者已发起数百万次利用尝试。美国和英国政府不得不暂时关闭一批网站，美国国家安全局（NSA）发布了紧急预警。而一代科技领袖们公开承认了他们私下里早已着手准备的一件事实：互联网安全的规则刚刚被改写，而且没有一条是往好的方向变化。

这里最耐人寻味的一点，并非 AI 能找出漏洞。而是 AI 把从发现到利用的时间线——从数年、甚至数十年——压缩到了数天。正是这种压缩，让此刻在质上与以往每一次漏洞危机截然不同。

互联网不知道自己仍在依赖的一门语言

PHP 运行着互联网上大约百分之七十的网站。这一数据来自多位专家对一门多数人以为早已被淘汰的编程语言影响力的评估。然而它并没有被淘汰。WordPress、传统电商平台、政府门户网站、医院信息系统——仍在依赖 PHP 的关键基础设施名单冗长而乏善可陈，而这恰恰是它的危险之处。

10 月 21 日宣布的漏洞并非边缘案例问题。它们是语言本身根深蒂固的缺陷，存在已超过二十年，要求的攻击链复杂到人类研究人员看得见路径却始终无法走完。

AI 安全平台 Wiz 的研究人员称之为"PHP 乃至软件历史上被发现的最严重漏洞之一"。措辞 matters。“之一"是一个限定词，但在此语境下它承载着重分量——因为这并非取决于你将其与 2003 年的 SQL Slammer 蠕虫或 SolarWinds 攻击相比。它取决于下一批工具到来时会发生什么：那些工具不仅找到这些链路，更能自主执行它们。

让人无法安眠的数字

Cloudflare 首席执行官 Matthew Prince 记录了攻击面实时扩张的过程。在漏洞公开披露前十个小时，Cloudflare 已经观测到数以千计的利用尝试。披露后四十五分钟，这个数字跃升至数万。两小时后：数十万。等到 Prince 发帖时，数字已达数百万。

这种速度——在不到三小时内从数千跳涨至数百万——不只是令人印象深刻。它是下一阶段的基准线。

NSA 警告称，此类攻击向量可能帮助攻击者窃取敏感数据、扰乱服务，或深入渗透网络。直白地说：这并非一个打上补丁就能遗忘的漏洞。这是一扇一旦打开就不会再关的门。

“天塌了”，却没人能修得足够快

Sam Altman 在周四晚间直言不讳：“我认为我们再也无法修补所有漏洞了。“这不是一个放弃之人的宣言。这是一个目睹数学逻辑正在改变的人说出的话。

Anthropic Deputy Chief Information Security Officer Jason Clinton 预测未来数月将迎来一场"漏洞海啸”。Marc Benioff 称之为"红色警报”。Prince 写道，未来两年将是"极其、极其、极其充满挑战的”，面对那些拥有"无限耐心"在互联网上搜寻弱点的工具。

Prince 语言中的重复并非修辞风格。那是一个人试图说服自己并未低估问题的口语化等价表达。

这些警告的共同点在于：它们谈的不是某一个漏洞。它们谈论的是新漏洞被发现的速率，以及以当前安全基础设施根本无法抵御那种速率。一个人类研究团队可以花数月时间攻克难一条利用链。而一个 AI 系统可以在并行空间里同时运行数百万条，永不疲倦。

谁胜谁负，以及接下来会发生什么

在这个场景下，赢家是算力最多、约束最少的行为体。包括国家行为体、有组织的网络犯罪集团，以及在与时间赛跑的资助充足的白帽研究者。不包括运行着过时框架上 PHP 栈的小型企业、依赖老旧系统的医院，或任何一个上周二才给网站打上补丁的人。

输家是每一个以为 PHP 长达数十年的安全记录意味着它安全的人。它并不安全。它只是意味着直到现在，无人拥有证明它不安全所需的工具。

接下来会发生什么，是更难回答的问题。紧急补丁、临时关停网站、NSA 预警——这些是每个人都知道的应急预案。真正的问题是，这套预案能否扩展到这样一个世界：新的关键漏洞正以机器速度被发现。

Clinton 关于没有时间修补关键基础设施的警告不是危言耸听。它是基于可观测轨迹做出的预测。如果 PHP 漏洞是一个指征，那么从发现到大规模利用之间的窗口期是以小时计算的，而非数周。安全行业的响应速度此前从未达到过这样的量级，而且没有明显理由表明它届时会突然达到。

次生危机正在逼近。只是我们尚不知道它究竟长什么样。