OpenAI 与 Wiz 协同发现 PHP2Shell 漏洞后的协调响应与事实核查

OpenAI 主导的“Patch the Planet”项目与 Google Cloud 旗下的 Wiz 在两个月内独立发现了 PHP 核心引擎中的内存破坏漏洞（PHP2Shell），该漏洞允许对 WordPress、Drupal 和 Joomla 进行未授权远程代码执行。OpenAI 称其研究人员使用 GPT-5.6 Sol 模型协助发现缺陷，而 Wiz 则利用 Gemini 4 Argon 和自有工具完成了同样的工作。尽管存在关于漏洞严重性的争议，但双方均确认了攻击路径的存在，并促成了包括政府机构在内的多方协调响应。

关键事实显示，此次响应包含两个月的私下协调期，期间 OpenAI 内部团队专注于修补而非单纯披露，并向政府和外部机构进行了保密通知。Cloudflare 在补丁发布前部署了免费 WAF 规则作为临时缓解措施，但这被明确界定为过渡方案而非最终解决方案。NSA 建议运营商在无法及时更新时暂时断开系统连接，而 OpenAI 随后发布了 Codex 技能以协助用户检查受影响情况。然而，原始材料中缺乏具体的受影响的版本矩阵、CVSS 向量细节以及独立的验证报告，导致无法精确指导升级操作。

这一事件揭示了 AI 在网络安全领域的双重影响：一方面，先进模型确实能加速防御性发现，缩短“防御窗口”；另一方面，大规模自动化扫描和漏洞披露可能引发供应链层面的混乱。文中提到的约 150 万台服务器运行着未修复版本，以及部分机构因担忧而采取的预防性停机，反映了基础设施维护的脆弱性。对于从业者而言，重点不应仅在于模型能力的突破，更在于如何建立可靠的补丁分发机制和应对突发安全事件的标准化流程，以避免因过度恐慌或信息不对称导致的非预期服务中断。