PHP 漏洞發現與修補現況

過去兩個月，OpenAI 領導一個由維護者、研究人員和安全供應商組成的聯盟，處理開源程式語言 PHP 中的重大漏洞。Calif 作為 Patch the Planet 計畫的一部分，使用 GPT-5.6 Sol 識別出一個關鍵缺陷，同時 Wiz 也獨立發現並報告了這兩個漏洞。

PHP 維護者主導了修復和發布工作，OpenAI 團隊與 Wiz、Cloudflare 等合作夥伴則提供研究、技術支援和協調工作，以便在披露前準備好保護措施。對於使用 PHP 的組織而言，目前的優先事項是套用這些修復。

OpenAI 分享了一個作為 Codex 技能的 PHP 版本檢查器，幫助營運者識別潛在易受攻擊的 PHP 版本，並結合 PHP 及其供應商的指引來確定適用哪些更新。鑑於這些缺陷的嚴重性和 PHP 的廣泛使用，OpenAI 認為這是近期最具影響力的安全問題之一。

提出五階段全球協調回應框架

隨著 AI 能力增強，預期類似發現將在未來幾個月急劇增加。OpenAI 基於目前的經驗，分享了一種適用於 AI 時代的應對廣泛使用軟體中重大漏洞的方法，並徵求安全社群協助改進此框架。該框架旨在結合模型、專業知識和維護者力量，將發現轉化為保護措施。

該回應過程涉及五個階段：首先驗證並修復上游漏洞，包括使用前沿模型進行對抗性測試以尋找繞過補丁的方法；其次給予受影響組織行動時間，決定哪些組織需要提前資訊來準備保護措施；第三是與政府夥伴協調以保護關鍵系統，OpenAI 曾與美國白宮超級智能部隊、國家網絡總監辦公室（ONCD）及網絡安全與基礎設施安全局（CISA）等機構合作。

第四階段是準備跨產品的更新，當修復和指引穩定後，維護者可邀請更多分發商、託管服務供應商和營運團隊參與；最後是在補丁可用時發布指引並支持部署，幫助用戶評估風險並確認修復正在運行。OpenAI 強調，此框架考慮了組織的保護角色、行動所需時間以及處理敏感資訊的能力。

投資防禦資源與維護者支援

為了幫助更多防禦者使用這些能力，OpenAI 承諾透過 Daybreak for Frontline Defenders 計畫提供價值 10 億美元的補貼 Daybreak 存取權，重點關注那些保護基本服務但安全資源有限的組織。此外，OpenAI 還為所有維護者提供 Codex for OSS 訂閱，並直接贊助如 Rust Foundation 等專案。

全球協調依賴於維護軟體的人員，許多專案由小型團隊運作，他們需要在日常開發之外審查安全報告。OpenAI 透過資金、強大模型的存取權和實際的工程協助來支持這些工作，幫助團隊區分新問題與重複項、評估影響並測試修復。

OpenAI 也在調整 Daybreak 的額外阻斷分類器以減少誤用潛力，這涉及艱難的取捨：旨在防止濫用的保障措施也可能阻擋合法的安全工作。其目標是在限制有害使用的同時，保留防禦者尋找和修復漏洞所需的能力。

社群質疑與技術現實

儘管 OpenAI 將此描述為前沿 AI 搶在攻擊者之前發現漏洞並開啟了「防禦者視窗」，但社群對其敘事提出質疑。發現者 Calif 在其部落格中指出，初始的錯誤發現並未使用特殊的測試框架或僅限特定人員存取的模型，而是基於對程式碼庫漏洞歷史的了解和理論假設進行探索。

另有評論指出，OpenAI 提出的「適應舊版本」修復建議在實際操作中受限於 PHP 官方支援範圍。目前修復僅回溯至仍受安全支援的 PHP 8.2 版本，而大量網站仍運行在已停止支援的 PHP 7.x 甚至 5.6 版本上，這些舊版本無法獲得官方補丁。

OpenAI 承認 AI 既能幫助防禦者發現漏洞，也能幫助攻擊者快速開發攻擊工具和利用方式。因此，該公司呼籲安全社群提供回饋，特別是在披露時間窗口、緊急修補機制以及早期通知對象等方面，以完善這一應對框架。