本周早些时候发布了一则令人震惊的公告：由于开源编程语言 PHP 中最近发现的漏洞，网站所有者必须立即修补他们的网站——如果无法立即更新，为安全起见应将网站下线。
在本周的 TechCrunch Equity 播客节目中，Kirsten Korosec、Sean O’Kane 和我讨论了这次 “PHP 末日” 事件的重要性，以及未来我们是否会看到更多类似事件。
Sean 称这是一个“真正的大清算时刻”，凸显了“当你深入到互联网的骨骼层面”时，一切都似乎“靠胶水和梦想维系在一起”。而随着人们能够广泛使用大语言模型和 AI 智能体，发现这些漏洞只会变得越来越容易。（话虽如此， 这些特定漏洞是由人类研究人员发现的，而不是 AI 模型。）
与此同时，Kirsten 则想知道我们是否即将迎来“下一级别的末世准备者末日[…]，因为你可以看到银行可能被利用，加上数据和隐私方面的担忧，这一切感觉比我们现在能解决的要严重得多。”
请继续阅读，预览 我们的对话，内容经过长度和清晰度方面的编辑。
Sean： 本周互联网似乎在很多地方都出了问题。
我认为，如果人们对此还比较陌生，最好的思考方式是：在过去 10 年里，我们经历过多少次这样的时刻——某些东西崩溃或几乎崩溃，而某个把维护一个微型代码仓库当作爱好的人碰巧发现有什么恶意行为正在进行，从而让我们免于互联网基础设施彻底崩塌？
现在，把这种情况乘以十亿倍——当人们不仅能使用几乎人人都在用的 LLM 这种极其先进的软件，还能给它们下达任务让它们自己去执行，也就是创建一心一意去完成这些事情的 AI 智能体时。
本周我们看到了两种事情的相互角力。其一是 Google 和 OpenAI 等一批实验室和公司实际上派人去找出了大量漏洞，包括 PHP 的那个漏洞。其二，我们也看到很多人似乎争先恐后地利用这些漏洞试图入侵网站。所以我们看到政府让网站下线，也看到非常热门的网站短暂下线以修复该漏洞。
这是一个真正的大清算时刻，我们将发现把互联网的如此多部分建立在 PHP 这类开源技术之上的下行风险。当你真正深入到互联网的骨骼层面时，它其实是靠胶水和梦想维系在一起的。
Anthony： 这件事有很多令人震惊之处。其一是——至少据我所知——这并不是一个新漏洞。这是一个在 PHP 中存在了几十年的漏洞。
而 PHP 被用作编程语言构建了如此多的网站，所以这个漏洞已经存在了几十年，但没有人知道。实际发生的事情是，这些大型 AI 公司——包括现已被 Google 收购的 Wiz——能够利用 LLM 找到这些漏洞。[正如上文所述，我说错了：是参加 OpenAI 和 Wiz 的 Hack the Planet 计划的人类研究者 发现了这些漏洞，尽管他们使用 AI 来利用这个漏洞。]
我猜其中一部分考量是，我们需要修补它，因为如果我们可以用 LLM 找到这个漏洞，其他人也可以。但要让补丁发布出去，唯一的方法就是公开宣布这个漏洞。因此就造成了这种非常恐慌的局面，[他们说]：“好吧，这个漏洞已经存在了几十年。你必须立即修补，如果不能立即修补，就把你的网站下线。这个漏洞就是这么严重。”
Kirsten： 我认为重要的一点是，很多人甚至没有意识到他们的网站使用 PHP——正如你所提到的，这是一种存在了几十年的开源编程语言。
给那些不知道的人说明一下，它的正式名称是 Hypertext Preprocessor，[它是]内容管理系统背后真正的核心成分，贯穿 WordPress、Drupal，以及大约 70% 的网站。我们谈论的是数千万个网站。所以对我来说，这是规模问题。这也让我立刻想到两件事：其一，这只是个开始。还有哪些存在几十年的糟糕软件将被利用？
另一件事是关于 404 Media 的，它曾经 一个非常棒的解读提到了，也就是链接失效（link rot）。因为很多人、公司、政府，也许还有那些小社区网站，都在关闭这些[网站]。所以我们将面临大量的链接失效，还有一些网站上可能留存着一小段历史内容，将不再能被访问，而不是对其进行修补保存。
Sean： Anthony，我认为你说得非常有道理。我看到很多人对这次漏洞披露的推进方式感到不满，也对OpenAI在其相关帖子里似乎表现出的那种耀武扬威有些反感。
另外，似乎有几个人抢在了这次发布的禁发期之前，这在黑客圈里引发了一场竞速。我记得好像是Cloudflare首席执行官Matthew Prince已经 发帖 谈到看到针对PHP2Shell的攻击尝试升级到数百万次。
关于这些漏洞的情况，网络安全领域通常的运作方式是：如果你在对一家公司的软件进行压力测试，即使它是一个帮助运行许多不同计算机或互联网各部分的基础性软件，你也可以去找那家公司进行披露，事情某种程度上会留在这个圈子内。但当我们谈论像这样深入、这样基础性的东西时，你不可能悄悄地逐个告知所有人。
我是说，也许可以，如果AI足够先进，你可以指派十亿个代理去给每一个掌控网站某部分的人发一封电子邮件。我们如今开始怀念那些网站管理员容易识别的日子了，也许那在一定程度上能解决问题。但根本没有简单的办法做到这一点。我认为这只是大量反复博弈的开端，显然是网络安全领域的一个新前沿。
Kirsten： Matthew Prince的社交媒体帖子在我看来非常能说明问题，而且相当吓人。另外，我不知道你们两位有没有看到，Amazon也发布了 一篇博客文章。这是一家资金非常雄厚的公司，所以他们拥有工具和团队来捕捉正在发生的情况。他们基本上运营着一个蜜罐网络，也就是诱饵网络，他们实际上发现，在该漏洞被公开宣布之前，就已经有人试图利用它了。
对我来说，这又回到了这一点：Amazon拥有对抗这些东西的工具、资本和专业知识。但有太多的网站，甚至包括潜在的政府网站，根本不具备那种程度的关注。所以对我来说，那才是真正可怕的部分。
而且现在有一些AI员工，很可能把这种担忧推向生存主义者式的末日情绪的下一个层级，因为你可以看到银行可能如何被利用，加上数据和隐私方面的担忧，这感觉比我们目前能解决的问题要大得多。所以我想关注两件事。一是人们的行为会变得多么极端——但我也想知道，是否会有一些新的初创公司因此涌现，或者我们是否会转向一些开源工具（比如Nvidia等公司提供的）来构建这些安全层。