本周早些时候，一则令人震惊的公告发布：由于开源编程语言PHP中新发现的漏洞，网站所有者必须立即修补他们的网站——如果无法立即更新，为安全起见应将网站下线。
在本周的TechCrunch《Equity》播客节目中，Kirsten Korosec、Sean O'Kane和我讨论了这次"PHP大灾难"的重要意义，以及未来是否会出现更多此类事件。
Sean称这是"一个真正的清算时刻"，它凸显出"当你深入到互联网的骨架层面"时，一切似乎都是"用胶水和梦想粘合起来的"。而随着大语言模型和AI智能体的广泛普及，发现这些漏洞只会变得越来越容易。（不过需要说明的是，这些具体的漏洞是由人类研究人员发现的，而非AI模型。）
与此同时，Kirsten则想知道我们是否即将迎来"下一级别的末日准备心态……因为你可以想象银行可能遭到利用，加上数据和隐私方面的担忧，这感觉比我们现在能够解决的问题要大得多。"
以下是我们对话的预览，经过编辑以精简和清晰呈现。
Sean O'Kane：这周互联网似乎在多个方面出现问题。
我认为理解这件事最好的方式是，如果有人刚接触这个话题：在过去10年里，有多少次出现这种情况——某个东西崩溃或几乎崩溃，而恰好有一个人维护着一个小小的、作为业余爱好运行的代码仓库，发现了有恶意行为正在发生，从而拯救我们，使互联网基础设施没有完全崩溃？
现在把这种情况乘以十亿倍，想象人们不仅能接触到这些人人都在使用的极其先进的软件，即这些大语言模型，而且还能让它们亲自去执行任务，创建专注于完成这些目标的AI智能体。
我们这周看到两种情况在同时发生平衡。一方面，像谷歌和OpenAI这样的实验室和公司实际上派人去寻找了一系列漏洞，包括这个PHP漏洞。另一方面，我们也看到一群人似乎在争先恐后地利用这些漏洞试图侵入网站。所以我们看到政府下线网站，我们看到一些非常热门的网站短暂下线以修复这个漏洞。
这是一个真正的清算时刻，我们将会发现，把这么多互联网建立在像PHP这样的开源技术之上所带来的下行风险。当你真正深入到互联网的骨架层面时，它是用胶水和梦想粘合起来的。
Anthony Ha：这件事中有很多令人震惊的地方。其中之一是——至少据我所知——这并不是一个新漏洞。这个漏洞已经存在于PHP中数十年了。
PHP一直被用作构建大量网络的编程语言，所以这个漏洞已经存在了数十年，但没有人知道它。实际发生的情况是，这些大型AI公司——包括现在归谷歌所有的Wiz——他们能够使用大语言模型发现这些漏洞。（如上所述，我这里说错了：参与OpenAI和Wiz的"Hack the Planet"计划的人类研究人员发现了这些漏洞，不过他们使用了AI来利用这个漏洞。）
我猜这个计算的一部分是，我们需要修补这个漏洞，因为如果我们能用大语言模型发现这个漏洞，其他人也能。但唯一能把补丁推送出去的方式就是公布这个漏洞。这就造成了一种非常恐慌的局面，[他们说]："好吧，这个漏洞存在了几十年。你必须马上修补，如果你无法立即修补，就直接把你的网站下线。这个漏洞的严重程度就是如此。"
Kirsten Korosec：我认为重要的是，很多人甚至没有意识到他们的网站使用了PHP——正如你提到的，这是一种存在了数十年的开源编程语言。
对于不了解的人来说，超文本预处理器是它的官方名称，[它是]WordPress、Drupal等内容管理系统背后真正的核心组件，大约70%的网站都在使用。我们说的是数千万个网站。所以对我来说，关键在于规模。这也让我立刻想到两件事：第一，这只是个开始。还有什么其他数十年历史的糟糕软件会被利用？
另一件事是404 Media提到的，他们做了非常出色的分析，那就是链接失效问题。因为很多人、公司、政府，甚至可能是小社区网站，他们正在关闭这些[网站]。所以我们将会看到大量链接失效，还有一些可能承载着一点历史的网站将无法再被访问，而不是被修补。
Sean：Anthony，我认为你提出了一个很好的观点。我看到很多人对这次漏洞披露的方式感到不满，对OpenAI在其相关帖子中表现出的某种自吹自擂感到不满。
此外，似乎有几个人提前于禁运期泄露了这个消息，这在黑客群体中引发了一场竞赛。我记得是Cloudflare的CEO Matthew Prince[他]已经发帖提到看到针对PHP2Shell的尝试性攻击升级到了数百万次。
这些漏洞的问题在于，网络安全领域通常的运作方式是，如果你在对一家公司的软件进行压力测试，即使它是帮助运行许多不同计算机或互联网部分的基础软件，你可以去找那家公司私下披露，这样信息基本上会保持在那个小圈子内。但当我们谈论的是像这次这样深层且基础的东西时，你没法悄悄地告诉每一个人。
我的意思是，也许你可以做到，如果AI足够先进，你可以派遣十亿个智能体去给每一个掌控网站某部分的人发邮件。我们现在正在为曾经拥有容易识别的网站管理员的日子而懊悔，也许那样在某种程度上能解决这个问题。但现在根本没有简单的方法来做这件事。我认为这将是未来一系列拉锯战的开端，而且显然是网络安全领域的一个新前沿。
Kirsten：Matthew Prince的社交媒体帖子对我来说非常有启发性，也相当可怕。另外，我不知道你们俩有没有看到，亚马逊也发布了一篇博客文章。这是一家资本充足的公司，所以他们有工具和团队来捕捉正在发生的事情。他们基本上运营着一个蜜罐网络，或者说诱饵网络，他们实际发现在这个漏洞被公开宣布之前，就已经有人尝试利用它。
对我来说，这又回到了这一点：亚马逊有工具、资本和专业知识来对抗这些事情。有太多网站，甚至可能包括政府网站，根本没有那种级别的关注。所以对我来说，这才是真正可怕的部分。
而且外面有一些AI从业者，可能会把这件事升级到下一级别的末日准备心态，因为你可以想象银行可能遭到利用，加上数据和隐私方面的担忧，这感觉比我们现在能够解决的问题要大得多。所以我很想看到两件事。一是，人们的行为会变得多极端——但我也想知道，是否会有一些新的创业公司因此而涌现，或者我们是否会转向一些开源工具[比如英伟达等公司提供的工具]来构建这些安全层。
