AI 将 PHP2Shell 崩溃漏洞转化为代码执行风险

PHP2Shell 漏洞揭示了 AI 如何改变网络安全攻防格局：一个自 2024 年已知、仅导致程序崩溃的 PHP 内存溢出错误，在 OpenAI 资助的 Calif 团队借助 AI 工具辅助下，被转化为可运行任意代码的关键漏洞。该事件表明，过去被视为低优先级的“崩溃类”缺陷，如今因 AI 具备处理特定逻辑推理的能力而变得致命。 核心机制在于 AI 填补了人类专家难以忍受的繁琐推理环节。Columbia 大学 Suman Jana 指出，利用该漏洞需要精确计算内存跳转点和覆盖顺序，这种“痛苦的具体推理”正是 AI 擅长的领域。尽管顶尖专家仍需深度知识，但 AI 使得次一级专家也能触及攻击边界。与此同时，防御方面临根本性不对称：修复漏洞需确保所有攻击路径闭合且不破坏现有功能，难度远高于发现漏洞。目前 Anthropic 于 10 月 22 日发布的工具已尝试用 LLM 生成补丁及证明，但proof checker 仍需人工介入以防幻觉。 Johns Hopkins 大学教授 Matthew Green 持悲观态度，认为除非发生真正严重的事故（可能发生在 2027 年初），否则资金和系统性修复动力不足。事实是 PHP2Shell 已被及时修补且未造成灾难，但这仅是开始；推断是未来 AI 将更频繁地挖掘此类深层技术债务；猜测是若缺乏外部注资或强制更新机制，开源生态的维护缺口将持续扩大。