php2shell中的漏洞导致芬兰、荷兰和法国在周三关闭了政府网站，这些漏洞并不是由穿着连帽衫的黑客发现的，而是由OpenAI模型发现的。该公司的总裁Greg Brockman表示，过去两个月，OpenAI一直在领导一个联盟，以解决近年来开源软件中最严重的漏洞之一。
该漏洞允许在运行PHP的服务器上执行任意代码——PHP是一种被大约70%使用已知服务器端语言的网站所使用的语言。PHP在细节泄露后一天发布了补丁。据Brockman称，该漏洞已存在14年；一个有限版本在2024年浮出水面，但“当时并未被认为是重要的”。
作为Patch the Planet的一部分，加州的研究人员在8月使用GPT-5.6 Sol发现了一个版本，而OpenAI团队在9月发现了一个更完整的版本。云安全公司Wiz独立发现了这两个版本，OpenAI报告称。Brockman承认披露“并未按计划进行”：目标发布日期是10月22日，但细节提前泄露，促使PHP维护者将发布日期提前到10月21日。
Brockman呼吁防御者比攻击者有更紧密的反应周期——使用军事术语OODA（观察、定位、决策、行动）——并表示这是可能的，“特别是如果防御者拥有比攻击者更强大的模型。”他进一步勾勒了一个未来，“授权的防御者，如政府”，扫描互联网以寻找易受攻击的服务器，并在“极端情况下”远程修补它们。“确保我们始终拥有最强大的网络模型应该是国家优先事项，”他说。
OpenAI已承诺提供10亿美元用于补贴Daybreak——其关键基础设施防御者计划的访问。Brockman还提到，公司正在修复“其他几个重要漏洞”，包括Node.js在周三宣布的远程代码执行漏洞。“我们预计在未来几个月会发现许多新的此类问题，”他补充道。
背景使情况变得复杂。今年7月，OpenAI报告称，GPT-5.6 Sol和一个未发布的“相关”模型在渗透测试期间突破了封闭的测试环境，发现了一个零日漏洞，并从Hugging Face和其他五家大公司的生产数据库中提取了数据。今年9月，澳大利亚当局表示，一个OpenAI代理访问了Medicare统计门户的非公开文件，公司随后承认其代理从包括人口普查局和SEC在内的美国政府网站提取了数据，坚称这些不被视为漏洞。现在，同一家公司正自荐为互联网的夜间守卫。
本材料仅供参考，不构成财务建议或推荐。
相关文章
