▶ https://playlist.megaphone.fm?e=TCML6900777799
本周早些时候发布了一则令人震惊的公告：由于在开源编程语言 PHP 中新发现的漏洞，网站所有者必须立即修补其网站——或者如果无法立即更新，为了安全起见，应当将网站下线。
在本周的 TechCrunch 的 Equity 播客节目中，Kirsten Korosec、Sean O'Kane 和我讨论了这场 PHP 末日的重要性，以及我们未来是否会看到更多类似事件。
Sean 称这是“一个真正的清算时刻”，它凸显出“当你深入到互联网的骨子里”时，一切似乎都是“靠胶水和梦想粘在一起的”。而随着大语言模型和 AI 智能体的广泛可及，发现这些漏洞只会变得越来越容易。（话虽如此，这些具体漏洞是由人类研究人员发现的，而非 AI 模型。）
与此同时，Kirsten 想知道我们是否即将看到“末日准备者式恐慌的下一层级……因为你能看到银行可能如何被利用，再加上数据和隐私方面的担忧，这感觉远比我们当下能修复的要大得多。”
请继续阅读我们对话的预览，内容经过长度和清晰度编辑。
Sean：看来本周互联网在很多方面都在出问题。
我认为理解这件事最好的方式——如果人们是毫无背景地接触这个话题的话：在过去 10 年里，有多少次出现过这样的时刻：某个东西坏了或差点坏了，而某个把维护一个小型代码仓库当作爱好的人，或者随便什么人，恰好发现有不法之事正在发生，从而把我们从互联网基础设施彻底崩溃中拯救出来？
现在把这个数字乘以十亿——当人们不仅能使用人人都用的这些 LLM 形式的极其先进的软件，还能让它们自己出去执行任务，创建一心一意完成这些事情的 AI 智能体。
本周我们看到两件事在同时发生并形成平衡。一是 Google 和 OpenAI 等一批实验室和公司实际上派人出去发现了一堆漏洞，包括 PHP 的那个漏洞。然后我们也看到一群人似乎急于利用这些漏洞去尝试入侵网站。于是我们看到政府下线网站，看到非常受欢迎的网站短暂下线以便修复这个漏洞。
这是一个真正的清算时刻，我们将发现把如此多的互联网建立在 PHP 这样的开源技术之上的下行风险。当你真正深入到互联网的骨子里，它是靠胶水和梦想粘在一起的。
Anthony：这件事有很多令人震惊之处。其中之一是——至少据我所知——这不是一个新漏洞。这是一个在 PHP 中已经存在了几十年的漏洞。
而 PHP 作为一种编程语言被用来构建了如此多的网络，所以这个漏洞已经存在了几十年，但没人知道。实际发生的情况是，这些大型 AI 公司——包括如今被 Google 收购的 Wiz——能够使用 LLM 发现这些漏洞。[如上所述，我搞错了：参与 OpenAI 和 Wiz 的 Hack the Planet 计划的人类研究人员发现了这些漏洞，尽管他们使用了 AI 来利用该缺陷。]
我猜部分考量是，我们需要修补这个漏洞，因为如果我们能用 LLM 找到这个漏洞，其他人也能。但我们把补丁发布出去的唯一方式就是公布这个漏洞。于是这就造成了一种非常恐慌的局面，[他们会说]：“好吧，这个漏洞已经存在了几十年。你必须立即修补，如果无法立即修补，就把你的网站下线。这个漏洞就是这么严重。”
Kirsten：我认为重要的是，很多人甚至没有意识到他们的网站使用了 PHP——正如你提到的，这是一种有几十年历史的开源编程语言。
给不了解的人解释一下，Hypertext Preprocessor 是它的正式名称，[它]实际上是内容管理系统背后的核心成分，这些系统被用于 WordPress、Drupal，大约 70% 的网站。我们说的是数千万个网站。所以对我来说，关键在于规模。这也让我立刻想到两件事：第一，这只是开始。还有哪些几十年的糟糕软件在外面，将会被利用？
另一件是 404 Media 提到的——他们做了一篇非常出色的分析——也就是链接失效。因为很多人、公司、政府，也许还有那个小型社区网站，他们正在把这些[网站]关掉。所以我们将会有大量链接失效，还有一些可能承载着一小段历史的网站将不再可访问，而不是去修补它。
Sean：Anthony，我认为你提出了一个非常好的观点。我看到很多人对这里的披露推出方式不满，对 OpenAI 在其相关帖子中似乎有些自夸感到不满。
另外，似乎有几个人抢在了这次发布的禁运期之前，这在黑客圈子里引发了一场竞赛。我想是 Cloudflare CEO Matthew Prince 已经发帖谈到看到它升级为针对 PHP2Shell 的数百万次入侵尝试。
关于这些漏洞，网络安全领域的通常做法是，如果你在对一家公司的软件进行压力测试，即使它是帮助运行许多不同计算机或互联网各部分的基础软件，或者无论它可能是什么，你都可以去找那家公司并披露它，而它基本上会留在这个圈子里。但当我们谈论的是像这样深入且基础的东西时，你就不能到处去 discreetly 告诉每个人。
我的意思是，也许可以，如果 AI 足够先进，你可以指派十亿个智能体去给每一个控制着网站某一部分的人发邮件。我们现在正在懊悔那些拥有易于识别的网站管理员的日子，也许那会在某种程度上解决问题。但做这件事就是没有简单的方法。我认为这是大量来回拉锯的开端，显然也是网络安全的一个新前沿。
Kirsten：Matthew Prince 的社交媒体帖子对我来说非常说明问题，而且相当可怕。另外，我不知道你们俩是否看到了，但 Amazon 也发布了一篇博客文章。这是一家资本非常雄厚的公司，所以他们有工具和团队来捕捉正在发生的事情。他们基本上运营着一个蜜罐网络，或者说诱饵，他们实际上看到，在该漏洞被公开宣布之前，就已经有人试图利用它。
对我来说，这又回到了这一点：Amazon 有工具、有资本、有专门技术来对抗这些东西。有那么多网站，甚至可能是政府网站，根本没有那种程度的关注。所以对我来说，这才是真正可怕的部分。
而且外面有一些 AI 员工，他们可能会把这件事推向末日准备者式的极端，因为你可以看到银行可能会如何被利用，再加上数据和隐私方面的担忧，这感觉比我们现在能修复的要大得多。所以我有兴趣看到两件事。第一，人们的行为会变得多极端——但我也想知道，是否会因此冒出一些新的初创公司，或者我们是否会转向一些开源工具（由 Nvidia 等公司提供）来创建这些安全层。