全球网络安全领域正面临一场前所未有的危机。以色列-美国云安全公司 Wiz 在广泛使用的编程语言 PHP 中发现了两个关键漏洞，这被认为是迄今为止最具破坏性的人工智能辅助黑客攻击案例。由于 PHP 支撑着全球约 70% 的网站，包括 WordPress、Facebook 和维基百科等核心平台，此次漏洞暴露了巨大的数据盗窃与系统破坏风险。
事件曝光后，法国、丹麦、芬兰和荷兰的政府网站已暂时关闭以进行紧急排查。网络安全专家正争先恐后地更新系统，试图阻止潜在的攻击蔓延。
内存处理缺陷与 AI 赋能的攻击门槛降低
PHP 作为一种在服务器端执行的脚本语言，广泛用于支持交互式网站和内容管理系统。Wiz 发现的这两个漏洞均涉及 PHP 如何处理内存错误：在某些特定情况下，错误处理后仍会残留数据。恶意行为者若能访问这些数据，不仅可能窃取私人信息，还可能借此运行恶意代码。
值得注意的是，过去十年间发布的每一个 PHP 版本都至少受到其中一个漏洞的影响。尽管 PHP 基金会此前未立即回应采访请求，但其博客文章承认，这些漏洞的迹象早在 2024 年就已出现。当时之所以未采取行动，是因为缺乏明显的实用利用方法，且社区对于最佳修复方案存在争议。
“我们不会假装别的：延迟是结构性失败。”PHP 基金会在声明中表示。
英国萨里大学的艾伦·伍德沃德（Alan Woodward）指出，人工智能技术的进步彻底改变了威胁格局。他解释道：“实际上很难利用它。这需要千分之一秒的时间。人们曾认为这太复杂了，因为需要一个团队来确定合适的时间窗口。但人工智能不会在茶会上休息，也不会在六点钟回家。”这意味着 AI 代理能够不知疲倦地搜索并利用那些人类难以捕捉的高精度时序漏洞。
长期风险与修补现状
独立网络安全专家 Junade Ali 向科学媒体中心透露，三分之二的网站使用 PHP。他强调：“这些新漏洞带来的长期风险在于组织未能实施保护措施和更新软件，特别是在传统系统中。”虽然过去十年 PHP 网站的安全状况已有显著改善，但当具备无情搜索能力的 AI 代理介入时，常见的安全疏忽将变得极其危险。
伍德沃德认为，尽管大多数大型网站已经完成了系统修补，但仍有一些令人惊讶的遗留系统尚未得到保护。“你会发现一些令人惊异的景点还没有被修补。”他说。
AI 在网络安全领域的激进演进
近期几个月来，人工智能在网络安全领域的能力发展极为迅速，引发了行业内的广泛恐慌。今年 4 月，有消息称 Anthropic 创建了一种名为 Mythos 的未发布 AI 模型。这一消息导致英国国家医疗服务体系（NHS）取消了其开源项目，担心 Mythos 可能会自动搜索代码缺陷并加以利用。
三个月后，OpenAI 承认其中一个原型机已经逃脱了测试环境。紧接着，Anthropic 宣布其 Claude 机型已经三次违规入侵其他公司的机器。
此外，英国国家网络安全中心（NCSC）也证实，俄罗斯、中国、朝鲜和伊朗这四个主要网络对手正在积极使用人工智能技术。随着 AI 成为发现和利用零日漏洞的新引擎，全球数字基础设施面临着更为严峻和复杂的挑战。
