Anthropic 安全负责人警告 AI 挖漏洞危机还将持续约 18 个月

Anthropic 信息安全副主管 Jason Clinton 警告称，PHP 严重漏洞引发的危机还将继续恶化约 18 个月。早在今年 8 月，他就已经预告了这场由 AI 发现的漏洞“海啸”。

对信息安全团队来说，这一周十分艰难，而且短期内恐怕不会好转。开发了 Claude 的 Anthropic 公司警告称，最艰难的时刻还在后面。这是该公司负责信息安全的副主管 Jason Clinton 于 10 月 22 日周四在 X 上做出的预测。

这位公司信息安全二号人物写道，尽管过去四天情况已经很糟，但短期内还会“先恶化再好转”。总体而言，他预计将有一段长达一年半的艰难时期，必须咬牙坚持。

“情况还会在好转之前大幅恶化”Jason Clinton

“尽管过去几天情况已经严重恶化，但在好转之前还会进一步大幅恶化。安全负责人，永远不要浪费一场危机：立刻向你们的董事会汇报并寻求帮助。不是为了 AI，而是为了最基本的事情。”他写道。

这一点不难理解，观察近期新闻也能印证。在“冰箱失控”事件中，根据法国信息系统安全局的分析，黑客攻击之所以得逞，主要是因为“基本的安全防护缺失”。说白了，攻击者利用的是基础漏洞。

然而，人工智能的发展将充当强大的加速器，既能挖出基础漏洞，也能发现从未被识别出的缺口。近几个月来，AI 实验室自己也强调了这些能力。今年 4 月，Anthropic 就拒绝公开其 Claude Mythos 模型，理由正是该模型能够发现软件漏洞。

让你的数字生活安心无忧

Bitdefender Premium Security 是一款欧洲网络安全解决方案，可自动保护你免受黑客和一切网络威胁。安心享受你的在线活动

赞助内容

网络安全产品正在促销

过去四天里我们已经部分见识到了这一点，即 PHP2Shell 事件——这是对 PHP 中两个严重漏洞的绰号，PHP 是驱动 WordPress 以及据 Wiz 称约 70% 网站的脚本语言。这些漏洞最终于 10 月 21 日周三被紧急修复。它们是在 AI 的帮助下被发现的。

来源：Numerama 制图

被谷歌收购的网络安全公司 Wiz 在其技术文章中称，这段存在漏洞的代码在 PHP 中已潜伏了十多年。要将其转化为可实际利用的攻击，需要一连串步骤，“几乎达到了人类研究人员所能做到的极限”，而谷歌的 Gemini 4 Argon 和 OpenAI 的 GPT-5.6 Sol 模型，配合 Wiz 自研工具 Atlas，最终突破了这道关卡。

OpenAI 称其“是近年来后果最严重的漏洞之一”，并表示该漏洞是在攻击者之前被发现的，从而为防御方争取了时间。谷歌 DeepMind 负责 Gemini 安全的 Raluca Ada Popa 则强调了 Gemini 4 Argon 的作用。

这些漏洞的发现者归属和发现时间线引发了争议。Wiz 并非首个发现者。加州安全公司 Calif 的研究员 Ryan Austin 早在 8 月 1 日就借助 GPT-5.6 Sol 发现了首批漏洞，并于 8 月 11 日上报给 PHP。Wiz 称自己于 8 月 19 日独立发现，并于 24 日上报。因此这确实是两次独立发现，也就有了相互竞争的主张。

为什么是 18 个月？

但这或许并非重点。

Jason Clinton 给出这个时间表并非随意。今年 6 月，在 The Transcript 引用的一番话中，他估计距离开放权重模型（参数公开、任何人都能在本地运行）在网络安全领域达到这一水平还有七到十个月。

他当时预测，该行业专家将迎来“职业生涯中最艰难的时期”，持续约 18 个月。那之后呢？在 X 上被问及此事时，他回答“vulnzero”，即零漏洞。最终，这些能力将集成到廉价的小型模型中，帮助开发者在代码上线前发现并修复漏洞。

当然，不可忽视的是，这套说法也符合 Anthropic 自身的利益——其商业模式建立在销售性能越来越强的模型访问权限之上，并且自 4 月起仅向少数精选企业开放其最强系统 Claude Mythos。网络安全议题背后同样牵涉经济利益。

Claude Mythos // 来源：Anthropic / Numerama

这种担忧也波及安全领域之外的人。John Milinovich 在 Figma 负责开发 AI 功能，平时自认为对技术非常乐观，他于 10 月 22 日发布了一篇题为《黑色十月》的长文，在 X 上获得约一百万次浏览。他写道，自己的乐观情绪在十八个小时内遭受了严重打击。

他在文中称，引发 PHP 漏洞的请求字面上就是“在 PHP 中寻找漏洞”。这种说法或许有些过于简化，需要加以辨析。据 The Hacker News 引用，Calif 解释说，深入了解代码的历史很重要，而当前的模型并不会自行从二十年前的冷门技术入手。

无论哪种情况，敦促人们在补丁发布后尽快更新系统和软件的提示，短期内都将显得更加关键。立即应用这些补丁并不需要内部彻底改造。而这正是 Jason Clinton 呼吁优先投入的基础工作之一。

你最喜欢的 VPN 并非你以为的那款 2026 最佳 VPN：Numerama 完整对比 查看我们的对比工具，选择最佳 VPN

本月你在 Numerama 上已阅读 0 篇文章

不订阅有一个很好的理由

并非所有人都有能力为信息付费。

正因如此，我们坚持让新闻向所有人开放。

但如果你有能力，

以下是支持我们工作的三个充分理由：

1 Numerama+ 有助于为所有 Numerama 读者提供免费体验。

2 你将享受无广告阅读、众多高级阅读功能和独家内容。

3 帮助 Numerama 完成其使命：理解当下，预见未来。

如果你相信一个免费的互联网和人人可及的高质量信息，请加入 Numerama+。

订阅 Numerama+

一目了然的科技新闻

将 Numerama 添加到你的主屏幕，与未来保持连接！

未来不等人：每周四在您的邮箱中免费阅读 ToujoursPlus，抢先洞悉新技术与 AI 的未来！