PHP2Shell 漏洞显示 AI 正加速暴露并转化 40 年遗留软件的技术债务

PHP2Shell 漏洞揭示了 AI 如何改变网络安全攻防格局：一个自 2024 年已知、仅导致程序崩溃的 PHP 内存溢出错误，在 OpenAI 资助的 Calif 团队借助 AI 工具辅助下，被转化为可运行任意代码的关键漏洞。该事件表明，过去被视为低优先级的“崩溃类”缺陷，如今因 AI 具备处理特定逻辑推理的能力而变得致命。

核心机制在于 AI 填补了人类专家难以忍受的繁琐推理环节。Columbia 大学 Suman Jana 指出，利用该漏洞需要精确计算内存跳转点和覆盖顺序，这种“痛苦的具体推理”正是 AI 擅长的领域。尽管顶尖专家仍需深度知识，但 AI 使得次一级专家也能触及攻击边界。与此同时，防御方面临根本性不对称：修复漏洞需确保所有攻击路径闭合且不破坏现有功能，难度远高于发现漏洞。目前 Anthropic 于 10 月 22 日发布的工具已尝试用 LLM 生成补丁及证明，但proof checker 仍需人工介入以防幻觉。

Johns Hopkins 大学教授 Matthew Green 持悲观态度，认为除非发生真正严重的事故（可能发生在 2027 年初），否则资金和系统性修复动力不足。事实是 PHP2Shell 已被及时修补且未造成灾难，但这仅是开始；推断是未来 AI 将更频繁地挖掘此类深层技术债务；猜测是若缺乏外部注资或强制更新机制，开源生态的维护缺口将持续扩大。