本週早些時候，發布了一則令人震驚的公告：由於在開源程式語言 PHP 中發現了新漏洞，網站所有者必須立即修補網站；如果無法立即更新，為安全起見，應先將網站下線。
在本週的 TechCrunch《Equity》播客節目中，Kirsten Korosec、Sean O’Kane 和我討論了這次「PHPocalypse」的意義，以及未來是否還會出現更多類似事件。
Sean 表示，這正是真正的「清算時刻」，它凸顯出「當你深入到互聯網的骨骼層面時」，一切看起來都像是「靠膠水和夢想維繫著」。他還表示，隨著大語言模型和 AI 代理的廣泛可用，發現這些漏洞只會變得更容易。（不過，這些具體漏洞是由人類研究人員發現的，而不是 AI 模型。）
Kirsten 則擔心，我們可能正要進入「下一層級的末日準備情緒[…] 因為你能看出銀行可能會被利用，而且考慮到數據和隱私問題，這一切感覺比我們現在能修復的要大得多。」
以下為我們對這段對話的預覽，內容經過刪減和潤色。
Sean O’Kane：看起來，這週互聯網在很多方面都在出問題。
如果讀者對這件事還不太熟悉，我認為最好的理解方式是：過去10年裡，我們有多少次遇到過這樣的時刻——某個東西出現故障，或差點出現故障，而某個只是在業餘時間維護一個很小倉庫的人，恰好發現有不懷好意的事情正在發生，並阻止了互聯網基礎設施徹底崩潰？
現在將這個場景放大十億倍：人們不僅能接觸到這些廣泛使用的、極其先進的大語言模型軟體，還能將任務交給它們，讓它們自行完成；再加上 AI 代理的出現，這些代理可以專注地處理這些事項。
我們這週見證了兩股力量同時發生。一方面，Google 和 OpenAI 等實驗室和公司確實派人發現了一批漏洞，其中包括 PHP 這個漏洞。另一方面，也有很多人似乎正爭先恐後地利用這些漏洞試圖入侵網站。因此，我們看到政府網站下線，也看到一些非常受歡迎的網站短暫宕機，以修復這個漏洞。
這是真正的清算時刻，我們將看到將互聯網如此多部分建立在 PHP 這類開源技術之上的下行風險。到了互聯網最底層，它就是靠膠水和夢想維繫著。
Anthony Ha：這件事最令人震驚的地方有很多，其中之一是——至少根據我的理解——這並不是一個新漏洞。這個漏洞在 PHP 中已經存在了幾十年。
PHP 作為一種程式語言，被用來建構了大量網頁，因此這個漏洞已存在數十年，但此前無人知曉。事情的經過基本上是，這些大型 AI 公司——包括現在歸 Google 所有的 Wiz——能夠利用 LLM 找到這些漏洞。[如上所述，我這裡說錯了：參與 OpenAI 和 Wiz「Hack the Planet」活動的人類研究人員發現了這些漏洞，不過他們使用了 AI 來利用這個 bug。]
我想其中一部分考量是，我們必須修補它，因為如果我們能用 LLM 找到這個漏洞，其他人也可以。但我們能把補丁推出來的唯一辦法，就是公開這個漏洞。因此這製造出一種非常恐慌的局面，他們會說：「好吧，這個漏洞已經存在了幾十年。你必須立刻修補；如果你不能立刻修補，那就先把你的網站關掉。這個漏洞就是這麼嚴重。」
Kirsten Korosec：我認為重要的一點是，許多人甚至不知道自己的網站使用了 PHP——正如你所提到的，這是一種擁有數十年歷史的開源編程語言。
對於不了解的人來說，Hypertext Preprocessor 是它的正式名稱；它實際上是 WordPress、Drupal 等內容管理系統背後的核心組成部分，而這些系統被大約 70% 的網站使用。我們談論的是數千萬個網站。對我來說，關鍵就在於規模。它也讓我立刻想到兩件事：第一，這只是開始。還有多少年代久遠的糟糕軟體正潛伏在那裡，未來會被利用？
第二件事是 404 Media 做過一個很棒的拆解，它提到的是「鏈接腐爛」。因為很多人、公司、政府，也許還有那個小社區網站，都會關閉這些網站。於是我們會看到大量鏈接失效，也會有一些原本承載著歷史片段的網站不再可訪問，而不是通過修補來保留它們。
Sean：Anthony，我覺得你提了一個很好的觀點。我看到很多人對這次披露流程並不滿意，也對 OpenAI 在相關貼子裡那種有點「炫耀式」的表述感到不滿。
此外，似乎有幾個人在這次發布的禁運期前採取行動，這在駭客圈內引發了一場競賽。我記得 Cloudflare 執行長 Matthew Prince 已經發帖稱，針對 PHP2Shell 的嘗試性攻擊已升級至數百萬次。
在網路安全中，這類漏洞的常見處理方式是：如果你正在對某家公司的軟體進行壓力測試，即使該軟體是支撐眾多不同電腦或互聯網某些部分運行的基礎軟體，你仍可將問題報告給该公司，而該問題基本上會被限制在該範圍內。但當我們談論的是這種深層、基礎性的東西時，你無法悄悄地通知所有人。
我的意思是，也許如果 AI 足夠先進，而且你能指揮十億個代理，向每一個掌控網站某部分的人發郵件，這也許辦得到。我們現在開始懷念那些容易識別的網頁管理員的日子了，也許那樣在某種程度上能解決問題。但這根本沒有簡單的辦法。我認為，這只是一個開始，接下來會有很多拉鋸，而且這明顯是網路安全領域的一個新前沿。
Kirsten：Matthew Prince 的社交媒體貼文在我看来非常能說明問題，也相當可怕。另外，我不知道你們有沒有看到，Amazon 也發了一篇部落格。這是一家資金非常充足的公司，因此他們有工具和團隊來捕捉正在發生的事情。他們基本上運營著一個蜜罐網絡，或者說一個誘餌，而且他們確實看到，在這個漏洞公開宣布之前，就已經有人試圖利用它。
對我來說，這再次回到同一個問題：Amazon 擁有工具、資本和專業知識來應對這些事情，但還有那麼多網站，甚至可能包括政府網站，根本沒有這種級別的關注。所以我认为，這才是真正可怕的部分。
而且外面還有一些 AI 員工，可能會將這件事推向更高一級的「末日準備」狀態，因為你能看出銀行可能會被利用，再加上數據和隱私方面的擔憂，這一切感覺比我們現在能修復的要大得多。所以我很想看看兩件事：第一，人們的行為會變得多極端；第二，我也在想，這件事會不會催生一些新的初創公司，或者我們是否會轉向使用一些開源工具——比如 Nvidia 這類公司提供的工具——來構建這些安全層。