本周早些時候，一則令人震驚的公告發布：由於開源編程語言PHP中新發現的漏洞，網站所有者必須立即修補他們的網站——如果無法立即更新，為安全起見應將網站下線。
在本周的TechCrunch《Equity》播客節目中，Kirsten Korosec、Sean O'Kane和我討論了這次"PHP大災難"的重要意義，以及未來是否會出現更多此類事件。
Sean稱這是"一個真正的清算時刻"，它凸顯出"當你深入到網際網路的骨架層面"時，一切似乎都是"用膠水和夢想粘合起來的"。而隨著大語言模型和AI智能體的廣泛普及，發現這些漏洞只會變得越來越容易。（不過需要說明的是，這些具體的漏洞是由人類研究人員發現的，而非AI模型。）
與此同時，Kirsten則想知道我們是否即將迎來"下一級別的末日準備心態……因為你可以想像銀行可能遭到利用，加上數據和隱私方面的擔憂，這感覺比我們現在能夠解決的問題要大得多。"
以下是我們對話的預覽，經過編輯以精簡和清晰呈現。
Sean O'Kane：這周網際網路似乎在多個方面出現問題。
我認為理解這件事最好的方式是，如果有人剛接觸這個話題：在過去10年裡，有多少次出現這種情況——某個東西崩潰或幾乎崩潰，而恰好有一個人維護著一個小小的、作為業餘愛好運行的代碼倉庫，發現了有惡意行為正在發生，從而拯救我們，使網際網路基礎設施沒有完全崩潰？
現在把這種情況乘以十億倍，想像人們不僅能接觸到這些人人都在使用的極其先進的軟體，即這些大語言模型，而且還能讓它們親自去執行任務，創建專注於完成這些目標的AI智能體。
我們這周看到兩種情況在同時發生平衡。一方面，像谷歌和OpenAI這樣的實驗室和公司實際上派人去尋找了一系列漏洞，包括這個PHP漏洞。另一方面，我們也看到一群人似乎在爭先恐後地利用這些漏洞試圖侵入網站。所以我們看到政府下線網站，我們看到一些非常熱門的網站短暫下線以修復這個漏洞。
這是一個真正的清算時刻，我們將會發現，把這麼多網際網路建立在像PHP這樣的開源技術之上所帶來的下行風險。當你真正深入到網際網路的骨架層面時，它是用膠水和夢想粘合起來的。
Anthony Ha：這件事中有很多令人震驚的地方。其中之一是——至少據我所知——這並不是一個新漏洞。這個漏洞已經存在於PHP中數十年了。
PHP一直被用作構建大量網路的編程語言，所以這個漏洞已經存在了數十年，但沒有人知道它。實際發生的情況是，這些大型AI公司——包括現在歸谷歌所有的Wiz——他們能夠使用大語言模型發現這些漏洞。（如上所述，我這裡說錯了：參與OpenAI和Wiz的"Hack the Planet"計劃的人類研究人員發現了這些漏洞，不過他們使用了AI來利用這個漏洞。）
我猜這個計算的一部分是，我們需要修補這個漏洞，因為如果我們能用大語言模型發現這個漏洞，其他人也能。但唯一能把補丁推送出去的方式就是公布這個漏洞。這就造成了一種非常恐慌的局面，[他們說]："好吧，這個漏洞存在了幾十年。你必須馬上修補，如果你無法立即修補，就直接把你的網站下線。這個漏洞的嚴重程度就是如此。"
Kirsten Korosec：我認為重要的是，很多人甚至沒有意識到他們的網站使用了PHP——正如你提到的，這是一種存在了數十年的開源編程語言。
對於不了解的人來說，超文本預處理器是它的官方名稱，[它是]WordPress、Drupal等內容管理系統背後真正的核心組件，大約70%的網站都在使用。我們說的是數千萬個網站。所以對我來說，關鍵在於規模。這也讓我立刻想到兩件事：第一，這只是個開始。還有什麼其他數十年歷史的糟糕軟體會被利用？
另一件事是404 Media提到的，他們做了非常出色的分析，那就是鏈接失效問題。因為很多人、公司、政府，甚至可能是小社區網站，他們正在關閉這些[網站]。所以我們將會看到大量鏈接失效，還有一些可能承載著一點歷史的網站將無法再被訪問，而不是被修補。
Sean：Anthony，我認為你提出了一個很好的觀點。我看到很多人對這次漏洞披露的方式感到不滿，對OpenAI在其相關帖子中表現出的某種自吹自擂感到不滿。
此外，似乎有幾個人提前於禁運期
泄露了這個消息，這在黑客群體中引發了一場競賽。我記得是Cloudflare的CEO Matthew Prince[他]已經發帖提到看到針對PHP2Shell的嘗試性攻擊升級到了數百萬次。
這些漏洞的問題在於，網路安全領域通常的運作方式是，如果你在對一家公司的軟體進行壓力測試，即使它是幫助運行許多不同電腦或網際網路部分的基礎軟體，你可以去找那家公司私下披露，這樣資訊基本上會保持在那個小圈子內。但當我們談論的是像這次這樣深層且基礎的東西時，你沒法悄悄地告訴每一個人。
我的意思是，也許你可以做到，如果AI足夠先進，你可以派遣十億個智能體去給每一個掌控網站某部分的人發郵件。我們現在正在為曾經擁有容易識別的網站管理員的日子而懊悔，也許那樣在某種程度上能解決這個問題。但現在根本沒有簡單的方法來做這件事。我認為這將是未來一系列拉鋸戰的開端，而且顯然是網路安全領域的一個新前沿。
Kirsten：Matthew Prince的社交媒體帖子對我來說非常有啟發性，也相當可怕。另外，我不知道你們倆有沒有看到，亞馬遜也發布了一篇部落格文章。這是一家資本充足的公司，所以他們有工具和團隊來捕捉正在發生的事情。他們基本上運營著一個蜜罐網路，或者說誘餌網路，他們實際發現在這個漏洞被公開宣布之前，就已經有人嘗試利用它。
對我來說，這又回到了這一點：亞馬遜有工具、資本和專業知識來對抗這些事情。有太多網站，甚至可能包括政府網站，根本沒有那種級別的關注。所以對我來說，這才是真正可怕的部分。
而且外面有一些AI從業者，可能會把這件事升級到下一級別的末日準備心態，因為你可以想像銀行可能遭到利用，加上數據和隱私方面的擔憂，這感覺比我們現在能夠解決的問題要大得多。所以我很想看到兩件事。一是，人們的行為會變得多極端——但我也想知道，是否會有一些新的創業公司因此而湧現，或者我們是否會轉向一些開源工具[比如英偉達等公司提供的工具]來構建這些安全層。
