人工智能（AI）研究人員發現PHP程式存在重大安全漏洞，可能讓黑客控制運行相關軟件的伺服器，進而竊取資料或攻擊瀏覽遭入侵網站的用戶。PHP是全球廣泛使用的網頁技術，據報最多支撐全球約70%的網站。這項名為PHP2Shell的漏洞被認為是PHP十多年來最嚴重的安全問題之一，網絡管理人員正加緊安裝修補程式，部分網站營運者甚至考慮暫時關閉網站，以降低風險。
《華爾街日報》報道，負責管理PHP項目的非牟利基金會安全工程師杜施（Volker Dusch）表示，這項漏洞與PHP管理電腦記憶體的方式有關，黑客可利用漏洞在尚未修補的網絡伺服器上執行未經授權的程式。部分攻擊只需數秒便可能完成，較複雜的系統則可能需要數小時。
AI加速漏洞發現 黑客攻擊風險升高
這項漏洞由網絡安全公司Calif的研究人員奧斯汀（Ryan Austin）發現。他在8月審查PHP原始碼時，借助OpenAI的GPT-5.6 Sol模型找出問題。OpenAI資助這項及其他開源軟件安全審查，希望利用AI協助開源項目發現並修補安全漏洞。
研究人員指出，相關類型的缺陷在PHP原始碼中已存在多年，早在數十年前便有人指出這可能是問題所在，但當時認為漏洞太難利用，因此未受到足夠重視。AI協助研究人員找到攻擊方法，證明只需向運行PHP的伺服器發送數十次請求，便可能操控電腦記憶體中執行的程式碼。
Calif行政總裁杜昂（Thai Duong）8月11日向杜施通報問題後，安全研究人員與軟件工程師迅速組成非正式工作小組，聯同軟件發行商及網絡安全公司研究修補方法。Google旗下網絡安全公司Wiz的研究團隊也獨立發現相關攻擊方式，OpenAI研究團隊亦提供了其他研究結果。
Wiz共同創辦人盧特瓦克（Ami Luttwak）形容，PHP2Shell是AI發現過最嚴重的漏洞之一，沒有AI協助，這項複雜問題可能難以被發現。
修補漏洞引發與黑客的競速
安全專家警告，軟件發布修補程式後，防守者與黑客之間便開始競速。網站管理員需要測試並安裝更新，黑客則可研究修補程式的變更，尋找新的攻擊方法。如今AI能比人類更快分析程式碼，可能讓黑客迅速開發攻擊工具，在網站完成更新前發動攻擊。
杜昂警告，任何人都可能把修補程式交給AI分析，迅速生成攻擊腳本並公開，屆時可能引發大規模網絡安全危機。因此，研究人員在修補期間嚴格保密漏洞消息，避免犯罪分子搶先利用。
此次修補工程規模龐大，涉及近200個檔案，開發人員編寫超過1萬行程式碼。團隊原定於10月22日發布修補程式，但相關消息在10月20日於科技討論網站Hacker News外洩，開發團隊遂決定提前發布警告，宣布將於21日推出重大安全更新，希望讓網站管理人員及時準備，同時避免給攻擊者太多時間研發攻擊工具。
新聞及封面圖片來源：網絡安全公司防堵資安漏洞（示意圖，非當事公司）。 美聯社