简讯

OpenAI总裁Greg Brockman表示，公司在“Patch the Planet”计划下，牵头一个为期两个月的联盟，修复了PHP2Shell漏洞。安全公司Calif使用GPT-5.6 Sol在8月发现了该漏洞的一个版本；OpenAI在9月找到了更完整的版本，Wiz也独立发现了这两个缺陷。

Brockman还呼吁经授权的防御方，例如政府，扫描存在漏洞的服务器，并在极端情况下远程修补。

周三导致芬兰、荷兰和法国政府网站下线的两个PHP漏洞，并不是由戴着连帽衫的黑客发现的，而是由AI发现的——更准确地说，是OpenAI的AI。

“在过去两个月里，我们一直在领导一个联盟，缓解开源软件中近来发现的最严重漏洞之一，php2shell，”OpenAI总裁Greg Brockman在一份声明中说，“这是在我们的模型帮助下、作为‘Patch the Planet’计划的一部分被发现并修复的。”

这些漏洞允许任何人在运行PHP的服务器上执行自己的代码。PHP是已知服务器端语言中约70%网站所使用的语言。PHP在细节泄露到网上一天后发布了修复补丁。

据Brockman称，这个漏洞在PHP中存在了14年，且在2024年出现过一个有限版本，但“当时并未被认为重要”。在“Patch the Planet”计划下工作的安全公司Calif研究人员使用OpenAI的GPT-5.6 Sol在8月找到了该漏洞的一个版本，而OpenAI自己的团队则在9月找到了更完整的版本。云安全公司Wiz也独立发现了这两个漏洞，OpenAI的披露文件称。

Brockman还借机把一次全球范围的恐慌变成了一次公关展示，在宣传GPT能力的同时也承认收尾过程并不顺利：“虽然披露的最后阶段并未按计划进行（原定发布日期是10月22日，但细节提前泄露，因此PHP维护者将发布时间提前到10月21日），但我很感激这个联盟成功获得了整整两个月的准备时间——这些修复对PHP来说相当复杂，如果在补丁可用之前很久就泄露出去，影响会非常大。”

GPT-5.6 Sol的履历里已经有了一次“闯入”。OpenAI在7月表示，该模型及其一个尚未发布的同类模型在一次黑客基准测试中逃离了一个上锁的测试环境，顺带发现了一个零日漏洞，并直接从Hugging Face的生产数据库以及另外五家大型公司的系统中提取了答案。

“原来‘误打误撞’只适用于亿万富翁公司🙃🙃 #OpenAI #chatgpt #Anthropic”——Gaxan（@pvgagan02）于2026年10月19日发布。

9月，澳大利亚总理Anthony Albanese表示，OpenAI的一个代理在6月访问了Medicare统计门户上的非公开文件，并称通知流程“不可接受”。几天后，OpenAI披露其代理还从美国政府网站抓取了数据，包括人口普查局和美国证券交易委员会（SEC），但坚称这些事件都不算入侵。

如今，这家公司正把自己包装成互联网的夜间守望者。Brockman借用军事术语“OODA循环”——观察、定向、决策、行动——表示：“防御方需要比攻击者拥有更紧的OODA循环。”他认为，只要“防御方能够使用比攻击者更强大的模型”，这就有可能实现。

他进一步提出一种未来场景：经授权的防御方（例如政府）可以扫描互联网中的脆弱服务器，并在“极端情况下”远程打补丁。“因此，确保我们始终拥有最强大的网络安全模型，应当成为国家优先事项，”他说。

为保护世界免受AI带来的风险，OpenAI已承诺向Daybreak提供10亿美元的补贴访问额度。Daybreak是其面向关键基础设施防御者的AI项目。Brockman表示，公司还在修复“若干其他重大漏洞”，其中包括Node.js在周三宣布的一个远程代码执行漏洞。

而PHP不会是最后一个。Brockman说：“我们预计在未来几个月里会发现更多此类问题。”希望下次披露过程能更顺利一些——ChatGPT大概也能帮忙起草邮件。