OpenAI 最近公佈其參與發現並協調修復 PHP 編程語言兩項嚴重安全漏洞的過程。此次行動是由 OpenAI 發起的「修補整個互聯網」計劃所推動，聯合了軟件維護者、安全研究人員、雲服務商及政府網絡安全機構，共同降低漏洞對全球互聯網基礎設施造成的風險。OpenAI 表示，先進的人工智能模型已能夠發現影響範圍極廣的軟件安全缺陷，而如何將這些發現迅速轉化為實際防護措施，正成為網絡安全領域日益重要的課題。
在此次事件中，安全公司 Calif 利用 GPT-5.6 Sol 發現了一個嚴重安全缺陷，安全公司 Wiz 則獨立發現並報告了相關的兩項漏洞。PHP 維護團隊負責主導漏洞修復與安全版本的發佈，OpenAI、Wiz、Cloudflare 及其他合作夥伴則提供技術研究、工程支持和協調工作，幫助相關機構在漏洞公開之前做好防護準備。PHP 是一種廣泛用於網站和網絡應用的開源編程語言，大量互聯網服務依賴它處理網頁請求、資料庫操作及後台業務邏輯。
因此，PHP 底層出現嚴重漏洞的影響可能迅速波及眾多網站、雲服務和企業系統。
OpenAI 透過 AI 技術協助修復 PHP 漏洞
此次發現的兩項漏洞均被評為嚴重級別，可能導致攻擊者在未經身份驗證的情況下遠程執行代碼。PHP 開發團隊已於 10 月 21 日發佈修復版本，並敦促用戶立即升級。OpenAI 表示，這次事件凸顯了人工智能在網絡安全領域的雙重作用。一方面，先進模型能夠幫助研究人員發現長期隱藏在成熟軟件中的缺陷；另一方面，同樣的能力也可能被攻擊者用於快速開發漏洞利用工具和攻擊程序。
因此，安全團隊不能只關注漏洞能否被發現，還必須建立一套高效機制，確保漏洞得到及時修復，並在相關補丁部署之前盡可能降低攻擊風險。
根據目前的資訊，此次漏洞是在攻擊者發現並利用之前，由先進人工智能輔助發現的，這為軟件維護者爭取到了寶貴的防禦準備時間。OpenAI 將這一階段稱為「防禦者窗口」，即防守方能夠先於攻擊者發現問題、制定修復方案並部署保護措施的時間窗口。不過，這個窗口並不會一直存在。隨著人工智能模型能力不斷提升，發現漏洞與開發攻擊手段之間的時間差可能逐漸縮短。
為此，OpenAI 提出了一套面向嚴重漏洞的協調響應框架，主要包括五個階段。首先，軟件維護者、研究人員和關鍵技術合作夥伴共同驗證漏洞，評估影響範圍，開發和測試修復方案，並利用先進模型開展對抗性測試，檢查補丁是否真正阻止攻擊，尋找相關漏洞變體。其次，為受影響組織預留足夠準備時間，根據各參與方實際防護職責分階段提供必要技術資訊。第三，與政府網絡安全機構合作，確保關鍵基礎設施運營者及時收到警報。
在 PHP 漏洞事件中，OpenAI 與合作夥伴聯繫了美國白宮超級情報工作組、國家網絡總監辦公室和網絡安全與基礎設施安全局（CISA），並與國際合作夥伴開展協調。
第四，在修復方案和公開披露計劃趨於穩定後，擴大參與範圍，讓更多軟件發行商、雲服務商、託管服務提供商和企業安全團隊提前準備更新。第五，補丁發佈後向公眾提供清晰的修復指南，並持續跟蹤部署情況。OpenAI 特別指出，提前共享漏洞資訊存在明顯兩難。雲服務商、網絡安全廠商和關鍵基礎設施運營者需要足夠技術細節才能有效準備防護措施，但即使有限的漏洞資訊也可能幫助攻擊者推斷缺陷位置。
因此，相關資訊應根據參與者的防護職責、準備時間需求和處理敏感資訊的能力分階段提供。如果漏洞已遭實際利用、技術細節意外洩露，或公開補丁本身暴露漏洞位置，原定披露時間表應重新評估。PHP 為幫助更多組織採取行動，OpenAI 表示將提供 PHP 版本檢查工具，並計劃推出配套 Codex 技能，協助系統運營者識別可能存在風險的 PHP 版本。OpenAI 還通過「修補整個互聯網」項目匯總漏洞公開資訊和防護指南。
在資源支持方面，OpenAI 承諾通過「前線防禦者的曙光」計劃提供價值 10 億美元的補貼式 Daybreak 服務訪問額度，重點幫助安全資源有限卻承擔關鍵服務防護任務的組織；通過 Codex for OSS 向開源軟件維護者提供訂閱支持，並直接贊助 Rust 基金會等項目。OpenAI 還提出，應從軟件設計階段減少安全缺陷，包括幫助工程師選擇更安全的默認設置、將關鍵組件遷移到內存安全語言、採用形式化驗證和更強隔離機制。
公司承認，擴大 AI 在網絡安全領域的使用需要更完善防濫用措施，正在為 Daybreak 調整安全分類器，在開放防禦能力與防止惡意使用之間取得平衡。
OpenAI 最後呼籲軟件維護者、研究人員、網絡安全服務商和企業運營者共同完善這一框架，並討論漏洞公開前的準備時間、提前披露條件、警報對象以及舊版軟件的安全替代方案等問題。公司還提出一個更具爭議的未來設想：互聯網系統或可逐步建立持續性漏洞掃描機制，在發現已知漏洞後通知網站所有者，甚至在獲得授權的情況下直接修補系統，但這涉及系統所有權、管理權限、誤操作風險及責任邊界，仍需嚴格的技術與治理保障。