PHP2Shell 漏洞事件显示 AI 让旧漏洞更易被利用

00天：00小时：00分钟：00秒加入我们在迈阿密的行列查看完整阵容

本周，当安全团队和网站管理员忙于修补新公开的 PHP 漏洞时，网络犯罪分子迅速试图在野外利用这些缺陷。根据 Cloudflare 的分析，漏洞公布后数小时内就出现了数百万次利用尝试——考虑到 AI 工具的广泛可及性使攻击者更容易快速利用漏洞，这并不令人意外。

到目前为止，大规模受害者被接管和入侵的噩梦场景尚未成真。PHP 基金会表示，尚未发现任何成功利用这些漏洞的情况，这些漏洞被统称为 PHP2Shell，而许多公开流传的潜在利用方式似乎并不有效。然而，本周混乱之中 AI 或许最有趣的作用，是先进模型如何帮助研究人员发现这些漏洞的实际利用方式——这些漏洞至少部分已为人所知多年。换言之，AI 帮助将历史悠久的漏洞变成了当前的危机。

那么，我们是否都将被一波已存在数十年的严重漏洞所冲击？

安全公司 Calif 的研究人员最先在 8 月初识别出 PHP2Shell 漏洞并构造出利用方式——部分使用了 OpenAI“Patch the Planet”项目中的前沿 AI 工具，同时也运用了人类专家对 PHP、其运行机制及其弱点的知识。部分底层问题在 2024 年就已被发现，但当时被认为过于复杂而无法利用。在 Calif 的发现之后，OpenAI 和 Google 旗下安全公司 Wiz 的研究人员使用 AI 工具独立发现了 PHP2Shell 缺陷。

“PHP 团队多年来一直知道这个漏洞，但由于攻击者——至少是人类攻击者——无法利用它，所以它没有被处理，”Wiz 的安全研究员 Sagi Tzadik 说。

没有软件是完美的。即使是最关键、最基础的数字工具也难免存在缺陷，但 AI 模型不断扩展的能力使分析和潜在利用漏洞变得更快。这给资源不足的 IT 团队、开发人员和管理员带来了更大的跟上节奏的压力。仅本月，微软的安全更新就包含创纪录的 1,453 个安全漏洞。与此同时，美国银行最近聘请了 1,000 名顾问来修复 Anthropic 的 Mythos 发现的缺陷。不过，安全研究人员强调，AI 最终并没有做任何新的事情，而是放大了漏洞发现和协调披露的既有动态。

“我们肯定会看到更多这类长期存在的漏洞，它们存在于过去十年左右每个版本的软件中，”Hunter Strategy 研发副总裁、前 NSA 黑客 Jake Williams 说。“但我认为这类低垂的果实就这么多。没有多少其他东西具有 PHP 那样的特定覆盖面。这是一个相当狂野的攻击面——大多数其他工具在设计上并不暴露于互联网。”

研究人员还指出，即使有了前沿模型，大多数复杂的 AI 辅助黑客攻击案例也都涉及人类专业知识。正如本周首次发现 PHP 漏洞的 Calif 研究员 Ryan Austin 所写：“没有哪个模型仅凭简单提示就能挖出‘所有漏洞’。至少目前如此。”

简而言之，安全工程师兼研究员 Niels Provos 说，大家都可以稍微收敛一下恐慌。“说实话，我并不太担心，”他说，对于 AI 发现大量新近可利用的历史漏洞——或发现没有 AI 就无法实际利用的新漏洞——他并不担心。“人们现在已经用 AI 寻找了一年多，而找到这个漏洞需要一个技术高超的团队。我想我们会看到我是否完全错了，但我对此表示怀疑。”

推出这款应用：更多充分利用《连线》的方式

为什么这么多 AI 研究人员认为这项技术可能杀死我们所有人

大型访谈：Patti Harrison 曾梦想一个科技乌托邦

我让一个 AI 代理黑掉了我所有的设备——而且我还会再来一次