一、这一次，漏洞是 AI 找出来的

PHP2Shell 之所以引发全球关注，不只是因为它严重，更因为它被发现的方式。根据 OpenAI 的公开披露，安全研究团队借助前沿 AI 模型，在审查 PHP 源代码时发现了这两个漏洞，并先于人类完成了攻击链的验证。云安全厂商 Wiz 也独立发现并报告了相关问题。

这两个漏洞在 PHP 代码中已潜伏约十四年，从 2012 年的 PHP 5.4 版本就埋下隐患，长期未被察觉。如今，一名研究人员借助 AI，可能在一周内完成过去顶尖团队需要数月才能啃下的研究工作。

二、发现快过修复，窗口正在消失

过去，防御者依赖漏洞被发现在前、被利用在后的时间差来争取修复空间。AI 正在迅速压缩这个时间差。OpenAI 提出防御者窗口的概念：只有当防御方手里的模型能力明显领先攻击者普遍能拿到的能力时，这个窗口才存在。

现实是，AI 让漏洞挖掘变得廉价且规模化。当发现漏洞的人越来越多、修复漏洞的人相对不足，安全能力的供给方式就必须改变，从依赖少数专家，转向可自主执行、持续运行的安全生产力。

三、企业的应对思路

  • 接受持续暴露：漏洞会越来越多、越来越快被披露，没有一劳永逸的安全。
  • 把响应自动化：监控、补丁、回滚流程尽量标准化，缩短人工决策链路。
  • 重视供应链：第三方组件、开源库、云服务的漏洞同样会传导到你身上。
  • 借助专业力量：中小团队很难自建安全团队，把运维与监测交给可靠的服务商是更现实的选项。