OpenAI 在10月21日扔出一份公告，把一次由 AI 牽頭髮現、跨越多國機構和企業協同處理的 PHP 漏洞修復全過程攤開給外界看。這場行動由 OpenAI 發起的"Patch the Planet"（修補整個互聯網）計劃推動，把軟件維護者、安全研究人員、雲服務商與政府網絡安全機構拉到同一條戰線上，目標只有一個——在漏洞被攻擊者盯上之前，先把全球互聯網的風險壓下去。

這次 PHP 的兩項嚴重漏洞，是被 AI 主動"嗅"出來的。安全公司 Calif 藉助 GPT-5.6Sol，先揪出了一個嚴重安全缺陷;安全公司 Wiz 則獨立發現並上報了相關的兩項漏洞。PHP 是撐起無數網站和網絡應用的開源語言，網頁請求、數據庫操作到後臺業務邏輯都靠它，底層一旦破洞，網站、雲服務和企業系統都可能被牽扯進來。兩項漏洞都被評爲嚴重級別，攻擊者無需身份驗證就能遠程執行代碼。PHP 開發團隊已在10月21日推出修復版本，並催促用戶立刻升級。

OpenAI 把這次事件裏最珍貴的一段喘息期稱作"Defender's Window"（防禦者窗口）——也就是防守方搶在攻擊者之前發現問題、制定修復方案並部署保護的時間差。這次漏洞恰恰是在攻擊者動手之前，由 AI 輔助發現的，爲維護者搶出了寶貴的防禦準備時間。但 OpenAI 也提醒，隨着模型能力一路爬升，發現漏洞與寫出攻擊工具之間的時間差正在被壓縮，行業得從過去零散的漏洞處理方式，轉向能快速協調維護者、服務商、企業和政府的系統化機制。

爲此，OpenAI 端出了一套面向嚴重漏洞的協調響應框架，分五步走。第一步，維護者、研究人員和關鍵技術夥伴共同驗證漏洞、評估影響、開發並測試修復，還得以先進模型做對抗性測試，確認補丁真能攔住攻擊、並順藤摸瓜找出其它可能被利用的變體;第二步，給受影響組織留出足夠的準備窗口，按各自的防護職責分階段喂技術信息，靠信息共享協議和專門協調機制壓住泄露風險;第三步，和政府網絡安全機構聯手，確保關鍵基礎設施運營者及時收到警報，這次 OpenAI 就聯繫了白宮超級情報工作組、國家網絡總監辦公室和網絡安全與基礎設施安全局（CISA），並和國際夥伴協同;第四步，在修復方案和披露計劃穩定後擴大範圍，讓更多發行商、雲服務商和託管商提前備好更新，對用舊版、裝不了最新補丁的組織，還要評估回移補丁或臨時防護的可行性;第五步，補丁發佈後向公衆給出清晰修復指南，並持續跟蹤部署情況，幫還沒更新的組織解決實際問題。

爲幫更多組織動手，OpenAI 將提供 PHP 版本檢查工具，並計劃推出配套的 Codex 技能，幫系統運營者識別有風險的 PHP 版本、結合官方和廠商指引鎖定更新方案;"Patch the Planet"項目則彙總漏洞公開信息和防護指南，幫管理員找到權威補丁、覈對臨時緩解措施、確認更新是否真正落地。資源上，OpenAI 承諾通過"Daybreak for Frontline Defenders"計劃提供價值10億美元的補貼式 Daybreak 服務訪問額度，重點扶持有關鍵防護任務卻安全資源有限的組織，並通過 Codex for OSS 給開源維護者訂閱支持，直接贊助 Rust 基金會等項目。

更深一層的思路，是讓 AI 從軟件設計階段就開始減少缺陷——幫工程師選更安全的默認設置、正確調用安全庫、儘早揪出危險代碼模式。一個明確方向是把關鍵組件遷往內存安全語言，從源頭消除一大類因內存管理錯誤（如訪問已釋放內存、緩衝區越界）引發的漏洞;AI 能輔助遷移，但遷移後的行爲、兼容與安全仍要人審。形式化驗證用數學校驗程序在特定假設下滿足安全屬性，沙箱則把處理不可信文件、圖像或媒體的軟件關進受控環境，即便被攻破也限制其進一步擴散。

OpenAI 也坦承，擴大 AI 在網安領域的使用，需要更完善的防濫用措施——它正在爲 Daybreak 調整安全分類器，努力降低工具被惡意利用的風險，但過嚴的限制也可能絆住合法研究，平衡是關鍵。它還拋出一個更具爭議的設想:互聯網系統或許能逐步建立持續性漏洞掃描機制，發現已知漏洞後通知網站所有者，甚至在獲授權時直接修補系統，但這涉及所有權、權限、誤操作與責任邊界，仍需嚴格的技術與治理保障。

這次 PHP 漏洞事件，是 OpenAI 用"Patch the Planet"對 AI 時代漏洞協調披露機制的一次實戰演練。當先進模型已經能替人類加快漏洞研究，真正護住互聯網的，終究取決於維護者、雲服務商、企業和政府機構能否以更快的節奏把驗證、修復與全球部署跑完——未來網安競爭的關鍵，也許不再是誰能先找到漏洞，而是誰能更快驗證、更快修復、讓全球受影響系統及時穿上鎧甲。