2026年10月21日，OpenAI在官方X账号上宣布，通过Patch the Planet计划协助应对编程语言PHP的漏洞。Calif使用GPT-5.6 Sol发现了一处严重缺陷，Wiz也独立报告了漏洞。修复和发布由PHP维护者主导，OpenAI、Wiz、Cloudflare等则协助做好应对准备。
https://x.com/openai/status/2112907856018309586?s=46&t=cFPDCo95GTPdBtNlVD8tRw
发现之后，还有漫长的路要走
OpenAI在官方X帖子中披露了此次事件。帖子可以这里查看。详细信息也已发布在OpenAI网站上，下面结合两方面的内容进行梳理。
听说AI发现了漏洞，人们很容易把注意力放在发现的那一刻。但在安全领域，真正耗时费力的是后续工作：准确传达发现的缺陷、修复它，并以用户能够更新的方式发布。只有这一系列环节衔接起来，世界各地的网站和服务才能得到保护。
PHP是一种用于网站后台的编程语言，也是许多服务的基础。发现这类问题后，修复工作必须谨慎安排。与其说这起事件凸显了AI本身的检测能力，不如说它让人更关注从发现到公开的整个流程。
梳理各方分别承担的职责
为避免混淆各方职责，我们不妨根据已公开的信息分别来看。使用GPT-5.6 Sol的Calif发现了一处严重缺陷。除此之外，Wiz也独立发现并报告了两项漏洞。公开信息显示，此次涉及两项漏洞，并非只针对单一缺陷。
而主导修复和发布的是PHP维护者。OpenAI表示，在为此次修复做准备时，他们与Wiz、云服务公司Cloudflare等合作推进。与其说AI是主角，不如说是包括AI在内的多个团队围绕维护者的判断开展协作。
外部参与者增多后，同一问题也可能通过不同渠道被发现。Wiz独立报告这一点，正体现了这一情况。报告越多，受理方和维护者越需要做好协调。
防护工作在公开前就已启动
另一个不容忽视的方面，是修复方案公开前就已启动的防护措施。Cloudflare将此次漏洞列为CVE-2026-109618和CVE-2026-109619，并表示已在漏洞公开前部署WAF防护。
WAF是一种监控发往网站的通信、并在可疑请求到达网站前将其拦截的机制。可以把它想象成房门锁正在维修时，先安排人守在门口。软件修复需要时间才能覆盖到所有用户，因此从外围先行布防意义不小。
发布修复版本的一方与负责保护通信的一方，在同一公开日期前做好准备。这个过程或许不够引人注目，但对用户来说，这样的安排才直接关系到安心。
AI时代的漏洞应对面临哪些考验
AI发现漏洞的速度今后还会进一步加快。随着发现的漏洞增多，接收报告的渠道、负责修复的维护者，以及部署公开前防护措施的企业，能否顺畅共享信息，将成为关键。
此次OpenAI着重强调的，与其说是比拼检测能力，不如说是以维护者为核心的协作模式。AI擅长发现和分析，人则负责判断和发布。把这次事件视为双方分工顺畅运作的案例，OpenAI这份公告的意义就会更加清晰。
当AI参与安全应对流程时，受到考验的不只是它的智能程度。发现的信息该交给谁、何时交、按什么顺序交？下次收到类似报告时，这套流程就将接受检验。
コメント