OpenAI挖掘PHP高危漏洞，启动AI时代全球协同修复机制

过去两个月，OpenAI 联合开源项目维护者、安全研究人员与基础设施服务商，化解了一场涉及 Web 底层基础设施的安全危机。在「修复地球」（Patch the Planet）倡议下，研究团队 Calif 借助 GPT-5.6 Sol 锁定了开源编程语言 PHP 的严重安全缺陷；与此同时，云安全公司 Wiz 也独立发现并报告了该漏洞。

PHP 官方维护团队主导了补丁的开发与发布。OpenAI 则与 Wiz、Cloudflare 等伙伴协同合作，在漏洞正式公开前完成了技术验证、防御规则准备与多方协同。

为协助各类组织排查潜在风险，OpenAI 在 GitHub 上开源了一款基于 Codex skill 的 PHP 版本检查工具，便于运维团队快速定位受影响版本并部署对应升级。

抢占先机的“防御者窗口”

PHP 支撑着全球大量网站与 Web 应用程序，这一漏洞是近年来波及面最广的安全问题之一。OpenAI 指出，这一事件表明前沿 AI 模型已经具备排查互联网级系统漏洞的能力，但同样的能力一旦被攻击者掌握，也能用于极速构建攻击工具与恶意利用链。

在本次事件中，前沿 AI 先于黑客锁定了缺陷，为维护者与防御团队争取到了宝贵的「防御者窗口」。为了让资源有限的关键服务组织也能获取前沿防护能力，OpenAI 宣布通过 Daybreak 前线防御者计划，提供总额 10 亿美元的补贴，帮助关键机构申请 Daybreak 访问权限。

OpenAI 透露，团队目前已通过类似方式锁定了数个严重系统漏洞并正在推进修复，预计未来数月由 AI 辅助发现的高危漏洞数量将显著上升。

适应 AI 时代的五阶段协同响应框架

软件修复绝非发布一行代码那么简单，往往需要适配历史旧版本、协调云厂商配置拦截规则，并在各组织数以万计的服务器上完成更新。为此，OpenAI 总结实践经验，提出了一套面向 AI 时代的五阶段漏洞协同处置流程：

1. 上游漏洞验证与修复：维护者、研究员与核心技术伙伴复现漏洞并评估影响，随后利用前沿模型开展对抗性测试，防范补丁被绕过或遗漏同类变种。
2. 为关键防御方预留处置时间：在维护者主导下，向需要提前部署防线的机构定向同步受控信息。操作系统分发商可着手适配旧版系统补丁，云服务商可测试缓解策略，安全厂商则能提前准备 Web 应用防火墙（WAF）规则。
3. 协同政府网安机构保障关键设施：国家级网络安全机构在跨部门协调中扮演着核心角色。在 PHP 响应期间，OpenAI 与伙伴联合对接了白宫超智能专项团队、美国国家网络总监办公室（ONCD）、网络安全与基础设施安全局（CISA）以及多国网安伙伴。
4. 跨产品生态适配：方案成熟后，逐步扩大协同范围，涵盖更多云托管商、服务提供商与应急响应团队，补齐防护覆盖盲区。
5. 发布补丁与全球部署指南：正式发布补丁与官方指导，协助用户评估风险并完成系统升级。运维人员也可参考 CISA 优先级与修复指南 结合资产暴露面进行应急排查。

Patch the Planet 官网已汇总了相关的公开披露信息、官方补丁链接、伙伴研究成果以及过渡期缓解指南，便于运维团队核验系统状态。

赋能开源维护者，筑牢软件底层根基

全球协同防御的核心，最终落在开源维护者身上。许多基础开源项目往往只靠极少数开发者支撑，在处理日常开发的同时还要筛选大量安全报告。OpenAI 表示，将通过资金、模型访问权与工程支持为维护团队减负，包括通过 Codex for OSS 为维护者提供免费订阅，并以白金会员身份直接赞助 Rust 基金会 等基础项目。其他开源项目也可通过 Patch the Planet 申请支持。

与此同时，OpenAI 正在持续校准 Daybreak 的阻断分类器，在遏制滥用可能性的同时，尽可能避免误伤正规的安全防御研究。

从长远来看，AI 的价值不仅在于捕获单一漏洞，更在于帮助工程师从源头构建更具韧性的软件：

• 源头安全编码：代码大模型可引导开发者遵循安全默认配置，并在编写阶段规避高风险代码模式。
• 迁移至内存安全语言：借助 AI 协助将关键基础设施模块迁移至内存安全语言，彻底消除特定类别的内存漏洞。