AI助力揭露严重安全漏洞 让技术债难以忽视

• 2026-11-10

在软件开发中，一些小错误有时被忽视长达数年，但这次情况却有所不同。一个在2024年就被发现的PHP内存错误，原本只被视为可能导致程序崩溃的bug，但今年通过AI的支持，网络安全研究人员成功识别出其隐藏的攻击路径，导致黑客可以远程执行代码，直接控制服务器。

这次事件影响巨大，包括NASA、维基百科、白宫等多个知名网站，以及大量基于WordPress和Drupal等技术构建的网站受到了牵连，这个漏洞后来被称为PHP2Shell。网络安全公司Tolmo的AI安全研究负责人Matt Suiche认为，过去四十年里人类开发的遗留软件中的隐患正在被逐一揭露，技术债务亟待清偿。

PHP诞生于1994年，尽管新语言和框架不断涌现，但仍有大量网站依赖于它运行。该内存错误与程序分配内存不足有关，虽然通常会导致程序崩溃，但并未引起足够重视。直到2023年7月，在OpenAI支持的安全审计中，安全公司Calif的研究人员利用AI工具发现了这个bug的潜在威胁，指出攻击者能够通过操控内存实现远程代码执行。 qy球友会官网

此后，Calif与其他公司共同挖掘出更多漏洞，并将其报告给PHP基金会。最终，这些问题被整理为PHP2Shell，包括两个关键的远程代码执行漏洞。而且验证表明，攻击者甚至可以在不需身份验证的情况下发动攻击，揭示了PHP底层环境本身的安全隐患。

AI的引入为何能迅速找到这个长期被忽视的漏洞？哥伦比亚大学的计算机科学副教授Suman Jana指出，利用这个bug需要进行详细的推理，而AI在处理繁复细节分析方面表现出色。这一结果并非完全依赖AI，而是结合了研究人员的丰富知识与AI技术，使得漏洞分析的效率显著提升。借助AI，更多安全问题可以被快速识别，进一步推动复杂安全研究的进展。