两家模型独立发现同一 PHP 严重漏洞

GPT-5.6 Sol 和 Gemini 4 Argon 被用于发现一组严重的 PHP 漏洞，原文称其可能影响全球数百万个网站。报道的重点不只是 AI 能找漏洞，还在于：同一种能力也能帮助攻击者调整利用方式，把攻击扩展到不同部署环境。

对程序员来说，这条消息值得看的是漏洞发现、补丁验证与协调修复之间的关系。不过，报道没有给出受影响版本、漏洞技术细节或模型效果对照，不能据此判断自己的服务是否安全，也不能直接得出某个模型更强的结论。

两路独立发现，比模型名字更有信息量

按原文描述，OpenAI 的 GPT-5.6 Sol 在 Patch-the-Planet 计划中发现了这组漏洞。OpenAI 将其称为近期影响最大的安全问题之一，并表示发现早于攻击者，为开发者和安全厂商争取了响应时间。这里的时间先后是 OpenAI 的说法，报道没有提供进一步证据。

另一条发现路径来自安全公司 Wiz。他们使用自有的 Wiz Atlas 平台，结合 Google 的 Gemini 4 Argon 和 GPT-5.6 Sol，独立找到了同一组漏洞。

Wiz 特别提到，Gemini 4 Argon 在发现漏洞、开发漏洞利用、构建攻击检测以及验证补丁方面很有帮助。也就是说，模型参与的工作覆盖了从寻找问题到确认修复的多个环节。

但原文没有交代平台、模型与研究人员各自完成了什么，也没有说明人工介入程度。这是团队使用 AI 完成安全研究的案例，不能直接当成模型独立完成全流程的证明。

AI 改变的，是漏洞利用的适配成本

Wiz 给出的关键解释是：过去，一份能攻击特定 PHP 安装环境的漏洞利用，要迁移到其他版本和配置，通常还需要不少工作。

原因在于，不同 PHP 版本、配置和内存布局，可能让原先有效的利用方式失效。找到一个漏洞，与让它在许多服务器上稳定生效，是两件事。

Wiz 认为，大语言模型能够自动调整漏洞利用，跨越这些环境差异，从而降低规模化攻击的门槛。一些过去因利用成本过高而不太现实的漏洞，也可能因此成为可行目标。

这解释了为什么「发现得早」很重要。防守方需要利用这段时间完成修复和检测部署，而不能只停在公布发现上。不过，报道没有提供适配成功率、耗时或与人工操作的对照数据，这部分仍应视为 Wiz 的技术判断。

我的判断

我更看重这次事件中的协调修复，而不是模型排名。

原文称，修复协调持续了两个月，分为五个阶段，参与方包括 PHP 开发者、Wiz、Cloudflare，以及 CISA、白宫等美国机构。OpenAI 希望将这套流程作为未来 AI 安全发现的可重复框架。但报道没有展开五个阶段的内容，一般团队还无法照着执行。

与只报告「模型发现严重漏洞」相比，补丁验证、攻击检测和多方响应更接近真正的交付结果。发现问题只有进入修复链条，才会转化成防守收益。

局限也很清楚：报道没有给出漏洞编号、受影响版本范围、触发条件和修复版本，也没有提供模型之间的对照实验。「可能影响数百万网站」描述的是潜在范围，不能读成数百万网站已经遭到攻击。

OpenAI 预计，未来几个月，PHP2Shell 这一规模的发现会明显增加。这是预测。现有材料支持 AI 已参与这次发现与修复工作，还不足以证明它能普遍替代人工安全审计、静态分析或常规漏洞扫描。

能拿来做什么

• 如果你维护 PHP 服务，先核对实际运行版本。原文提到 GitHub 已有检查版本是否受影响的工具，但没有提供工具地址和适用范围，需要进一步确认后使用。
• 如果前端应用依赖 PHP 后端，可以把这条消息转成一次明确的核查任务：确认后端是否受影响、是否已有修复，以及生产环境是否完成更新。
• 如果团队尝试让 AI 辅助安全研究，可以参考 Wiz 的工作范围，把漏洞发现、利用验证、攻击检测和补丁验证串起来，并分别保留验证证据，避免把模型的一次判断直接当成修复结论。