【CNMO科技消息】近日，OpenAI发布公告，披露其参与发现并协调修复PHP编程语言两项严重安全漏洞的全过程。此次行动由OpenAI发起的“Patch the Planet”（修补整个互联网）计划推动，联合软件维护者、安全研究人员、云服务商及政府网络安全机构，共同降低漏洞对全球互联网基础设施造成的风险。OpenAI表示，先进人工智能模型已经能够发现影响范围极广的软件安全缺陷，而如何将这些发现迅速转化为实际防护措施，正成为网络安全领域日益重要的课题。
OpenAI
此次事件中，安全公司Calif利用GPT-5.6 Sol发现了一个严重安全缺陷，安全公司Wiz则独立发现并报告了相关的两项漏洞。PHP维护团队负责主导漏洞修复与安全版本发布，OpenAI、Wiz、Cloudflare及其他合作伙伴则提供技术研究、工程支持和协调工作，帮助相关机构在漏洞公开之前做好防护准备。PHP是一种广泛用于网站和网络应用的开源编程语言，大量互联网服务依赖它处理网页请求、数据库操作及后台业务逻辑。因此，PHP底层出现严重漏洞，影响可能迅速波及众多网站、云服务和企业系统。此次发现的两项漏洞均被评为严重级别，可能导致攻击者在未经身份验证的情况下远程执行代码。PHP开发团队已于10月21日发布修复版本，并敦促用户立即升级。
OpenAI表示，这次事件凸显了人工智能在网络安全领域的双重作用。一方面，先进模型能够帮助研究人员发现长期隐藏在成熟软件中的缺陷；另一方面，同样的能力也可能被攻击者用于快速开发漏洞利用工具和攻击程序。因此，安全团队不能只关注漏洞能否被发现，还必须建立一套高效机制，确保漏洞得到及时修复，并在相关补丁部署之前尽可能降低攻击风险。据其目前掌握的信息，此次漏洞是在攻击者发现并利用之前，由先进人工智能辅助发现的，这为软件维护者争取到了宝贵的防御准备时间。OpenAI将这一阶段称为“防御者窗口”（Defender's Window），即防守方能够先于攻击者发现问题、制定修复方案并部署保护措施的时间窗口。不过，这个窗口并不会一直存在。随着人工智能模型能力不断提升，发现漏洞与开发攻击手段之间的时间差可能逐渐缩短。
为此，OpenAI提出了一套面向严重漏洞的协调响应框架，主要包括五个阶段。第一，软件维护者、研究人员和关键技术合作伙伴共同验证漏洞，评估影响范围，开发和测试修复方案，并利用先进模型开展对抗性测试，检查补丁是否真正阻止攻击，寻找相关漏洞变体。第二，为受影响组织预留足够准备时间，根据各参与方实际防护职责分阶段提供必要技术信息。第三，与政府网络安全机构合作，确保关键基础设施运营者及时收到警报。在PHP漏洞事件中，OpenAI与合作伙伴联系了美国白宫超级情报工作组、国家网络总监办公室和网络安全与基础设施安全局（CISA），并与国际合作伙伴开展协调。第四，在修复方案和公开披露计划趋于稳定后，扩大参与范围，让更多软件发行商、云服务商、托管服务提供商和企业安全团队提前准备更新。第五，补丁发布后向公众提供清晰修复指南，并持续跟踪部署情况。
OpenAI特别指出，提前共享漏洞信息存在明显两难。云服务商、网络安全厂商和关键基础设施运营者需要足够技术细节才能有效准备防护措施，但即使有限的漏洞信息也可能帮助攻击者推断缺陷位置。因此，相关信息应根据参与者的防护职责、准备时间需求和处理敏感信息的能力分阶段提供。如果漏洞已遭实际利用、技术细节意外泄露，或公开补丁本身暴露漏洞位置，原定披露时间表应重新评估。
PHP
为帮助更多组织采取行动，OpenAI表示将提供PHP版本检查工具，并计划推出配套Codex技能，协助系统运营者识别可能存在风险的PHP版本。OpenAI还通过“Patch the Planet”项目汇总漏洞公开信息和防护指南。在资源支持方面，OpenAI承诺通过“Daybreak for Frontline Defenders”计划提供价值10亿美元的补贴式Daybreak服务访问额度，重点帮助安全资源有限却承担关键服务防护任务的组织；通过Codex for OSS向开源软件维护者提供订阅支持，并直接赞助Rust基金会等项目。
OpenAI还提出，应从软件设计阶段减少安全缺陷，包括帮助工程师选择更安全的默认设置、将关键组件迁移到内存安全语言、采用形式化验证和更强隔离机制。公司承认，扩大AI在网络安全领域的使用需要更完善防滥用措施，正在为Daybreak调整安全分类器，在开放防御能力与防止恶意使用之间取得平衡。
OpenAI最后呼吁软件维护者、研究人员、网络安全服务商和企业运营者共同完善这一框架，并讨论漏洞公开前的准备时间、提前披露条件、警报对象以及旧版软件的安全替代方案等问题。公司还提出一个更具争议的未来设想：互联网系统或可逐步建立持续性漏洞扫描机制，在发现已知漏洞后通知网站所有者，甚至在获得授权情况下直接修补系统，但这涉及系统所有权、管理权限、误操作风险及责任边界，仍需严格的技术与治理保障。
