AI批量挖洞引发虫灭危机担忧

IT时代网10月24日消息，编程语言 PHP 的严重安全漏洞 PHP2Shell 于 10 月 21 日披露后，被证实可以在 AI 驱动的研究中被实际利用，网络安全界由此担忧所谓“虫灭危机”——AI 发现漏洞与开发攻击方法的速度，正在超过企业与开发者的响应能力。该漏洞允许在不登录的情况下在服务器执行恶意代码，波及包括 WordPress 在内的大量网站。它最早在 2024 年 PHP 基金会的外部安全审计中被发现，当时只定位到内存耗尽场景下的异常，未能确定具体攻击方法。今年 8 月，美国安全公司 Calypso 使用 OpenAI 的模型分析 PHP 代码，找到无需登录即可执行服务器命令的路径；谷歌旗下安全公司 Wiz 随后独立确认同一漏洞，并在 WordPress 上复现攻击。Wiz 在技术报告中称，过去需要一个顶级安全团队数月完成的工作，如今一名研究者一周即可完成。PHP 基金会已于 21 日发布紧急安全更新，用户需升级到最新版本。行业数据显示，这并非孤例：Anthropic 本月 2 日宣布其模型在 591 个开源项目中找出 6157 处漏洞，其中 OpenBSD 与 FreeBSD 中分别发现存在 27 年和 17 年之久的缺陷；安全公司 DeepSec 今年 6 月用 AI 分析 FFmpeg 约 150 万行代码，找出 21 处漏洞，部分悬置超过 20 年。更紧迫的是攻防时间差。亚马逊威胁情报部门在官方补丁发布前 4 天就监测到针对 PHP2Shell 的利用尝试，但尚无法确认攻击者是否借助了 AI、以及是否攻陷了服务器。PHP 基金会透露，自 7 月 1 日以来已为 15 个漏洞分配 CVE 编号，并审核了逾百份错误或重复报告，验证负担显著加重。业界认为，网络安全已进入攻防双方比拼响应速度的“速度战”阶段。此前PHP漏洞细节遭提前泄露曾引发类似讨论。

编辑：周艺