OpenAI 自曝挖出 PHP 高危漏洞，10 亿补贴防御者

据 Woofun AI 消息，OpenAI 在其最新的负责任漏洞披露报告中证实，其内部 AI 智能体在开源编程语言 PHP 中提前挖掘出两项影响波及全球数百万网站的严重底层漏洞。

这一事件标志着网络安全范式的重大转折，OpenAI 通过宣布斥资 10 亿美元设立 计划补贴一线防御者，展示了尖端 AI 技术从被动代码审计向网络安全主动防御体系演进的战略意图。

过去两个月，OpenAI 牵头组建了一个由维护者、研究人员和安全服务商组成的联盟，共同应对 PHP 中的严重漏洞。PHP 是一种用于运行网站和 Web 应用的开源编程语言，其广泛使用使得任何底层漏洞都可能引发连锁反应。在 计划框架下，Calif 使用 GPT‑5.6 Sol 发现了一个严重漏洞；

与此同时， 也独立发现并报告了这两个漏洞。PHP 维护团队主导了修复和版本发布工作，而 OpenAI 团队以及 Wiz、 等合作伙伴则提供研究、技术支持和协调协助，以便在漏洞公开披露前准备好防护措施。

这种多方协同机制确保了修复工作的专业性和及时性，避免了因信息不对称导致的防御滞后。

对于使用 PHP 的组织而言，当务之急是部署修复。OpenAI 正以 技能的形式提供 PHP 版本检查工具，帮助运维人员识别可能存在漏洞的 PHP 版本，并结合 PHP 官方及其服务商的指导，确定需要应用哪些更新。考虑到这些漏洞的严重程度和 PHP 的广泛使用，OpenAI 认为这是近年来影响最大的安全问题之一。这表明 AI 能够发现影响波及整个互联网的安全漏洞，但同样的能力也可能帮助攻击者快速开发攻击工具和漏洞利用程序。前沿 AI 比攻击者更早发现了这些漏洞，为维护者和安全服务商打开了防御者窗口期，使其能够在漏洞披露前准备好修复和防护措施。

然而，这一窗口期并非无限，攻击者同样在利用 AI 提升能力，因此时间成为关键变量。

Woofun AI 整理数据显示，为帮助更多防御者运用这些能力，OpenAI 已承诺通过面向一线防御者的 Daybreak 计划，提供价值 10 亿美元的 Daybreak 使用补贴，重点支持安全资源有限、承担关键服务防护职责的组织。

尽管这些漏洞影响重大，但它们只是 OpenAI 已经发现并正在着手修复的多个重大漏洞中的一部分。预计未来几个月类似发现将大幅增加。基于迄今积累的经验，OpenAI 提出了一套适应 AI 时代的方法，用于应对广泛使用的软件中的严重漏洞，并邀请安全社区协助完善这一框架。

这一框架将模型、安全专业能力与维护者的力量汇聚起来，帮助把漏洞发现转化为防护措施，并建立能够随 AI 能力进步而扩大规模的响应机制。

协调全球响应是确保修复落地的关键。要让修复真正落地，可能需要将其适配到旧版本、为服务商准备缓解措施，并更新众多组织的系统。随着更多漏洞被发现，一套可重复执行的流程能帮助这些团队迅速行动。OpenAI 提出的响应流程包括五个阶段。第一阶段是验证并修复上游漏洞。维护者、研究人员和必要的技术合作伙伴共同确认漏洞、评估影响，并开发和测试修复方案。

这一过程包括使用前沿模型开展对抗性测试，寻找绕过补丁的方法及相关漏洞变体。通过模拟攻击者的视角，防御者可以更全面地评估修复方案的有效性，确保没有遗漏潜在的风险点。