紐約—— 標題並不算特別引人注目。研究人員找到將兩個在 PHP 這個用於網站與應用程式的程式語言中存在的漏洞武裝化的方法，並於週三（10 月 21 日）呼籲各家公司安裝修補程式。
在安裝期間，少量網站與服務被下線以進行修補。美國政府表示正在檢視政府系統並加速緩解措施。媒體幾乎沒什麼反應。
然而，像是一場被挫敗的恐怖襲擊，或是千禧年問題，普遍的「什麼都不是」感覺，其實可能掩蓋了幕後英雄的努力，至今已避免一場災難。
這就是這次事件：一個應被視為新 AI 與網絡安全時代中，對好人一方迄今最重大的勝利的事件，對於渴望證明自己比以往更有價值的網絡安全產業來說，是一大福音。
嚴重漏洞被發現
這些漏洞——被命名為 PHP2Shell——據 Wiz 的說法，全球大約「70% 的網站」可能會受到影響，Wiz 是 Google 旗下的網絡安全公司。
這些深層且基礎的缺陷，已存在超過十年，使攻擊者能遠端執行程式碼——就像把一把鑰匙交給外人，讓他幾乎可以做任何他想做的事、看到任何他想看到的內容一樣。「這些發現可說是 PHP 中最嚴重的漏洞之一，」Wiz 寫道，「甚至可能是軟件史上的罕見案例」。
謹慎風潮已經全球蔓延。
屬於多個歐洲政府與地方當局的網站下線。在英國，BBC 出於維護需要下線了網站的部分內容。美國一家以人力資源業務為主的公司短暫離線。日本首相高市早苗呼籲各公司盡快部署修補。
然而，目前為止，這一切僅僅被視為過度謹慎。
PHP2Shell 的發現，得益於所謂的「前沿」AI 模型——這個稱謂用於指稱來自 OpenAI 至 Google 等領先實驗室的尖端技術。
Wiz 在八月發現了這個漏洞。另有一家網安公司 Calif 也在同時發現，並與 OpenAI 一同參與一項名為 Patch the Planet 的協同行動，該行動是在對 AI 可能如何提升網絡犯罪分子與流氓國家能力的恐懼之後啟動的。
要說清楚，這遠比單純讓 AI 模型找出一個問題要複雜得多。
實際上，這是一場模型與人類專家的協同演練，正如 Wiz 所描述的「一個極其複雜的步驟鏈，處於人類研究人員可實際達到的極限邊緣」。 Wiz 團隊中的單一研究員在一週內完成的工作，若以「全球級」團隊來看，原本可能需要數月的時間，該公司表示。
專門網絡安全公司的重要性
在發現漏洞之後，緩解工作在幕後開始啟動。管理 PHP 的團隊——一個開源語言——已開始制定修補方案。頂尖的網路基礎設施公司，如亞馬遜網路服務（AWS）與 Cloudflare，都已被通知。
漏洞（以及解決方案）在週三公開，修補程式在早上發布——因為部分細節已被洩露，提早一天公佈。OpenAI 為其 Codex 平台推出了一個「技能」，協助企業快速判斷需要哪些更新。
如今漏洞已公開，黑客也會識別出這些薄弱點，某些人已經開始這樣做。
Cloudflare 的技術長 Dane Knecht 表示，在修補程式公佈之前，公司已看到對客戶的「早期攻擊」出現，並提供臨時對策，直到漏洞被修補。若這些攻擊被惡意分子先行發現，情況可能完全不同，這些攻擊也就不再是小事。
這起事件凸顯出在 AI 過程中的專門型網絡安全公司日益重要。真的，只有在二月，美股市場對 Cloudflare 與 CrowdStrike 等領先的安全公司信心動搖，擔心 AI 實驗室 Anthropic 會奪走他們的商機，如今卻恰恰相反地證明了這些公司之價值。
現在回頭看，當時的說法多麼愚蠢；事實卻證明了相反的情況。
新型安全威脅範式使網絡安全專長更加珍貴，因此在消息公佈時，Cloudflare 的股價大約上漲 7%，自二月震盪以來上漲約 76%；CrowdStrike 在同一時間段上漲約 146%。
當然，這些 AI 公司正協助防禦他們幫助創造的風險，但現在已經無法否認——同樣的技術能用於開發新藥、撰寫複雜程式碼，同樣也能用於駭入電腦。唯一的對策就是正視它。
這次事件應該給予人們鼓勵。要點在於，安全研究人員與前沿 AI 實驗室之間的合作，為世界在嚴重威脅面前爭得了先機。這些協作努力必須繼續，並且要擴大規模。
我們尚未完全脫離危機。正如在網絡安全領域一向的情況，責任仍然落在安全團隊身上，必須採取行動。
但這些團隊在掌握充分事實、已有可用的修補方案、在可信來源提供審慎解決辦法的支持下，保持著相對冷靜。這些成果並未出現在頭條新聞或晚間新聞中，但正是這場將會無止境的戰爭中的一場勝仗。」
