欢迎来到 Kernel Panic，这是 Lily Hay Newman 和 Matt Burgess 从隐私和数字安全的新世界内部发布的每周通讯。要每周在您的收件箱中收到这份通讯，请在这里注册。由于安全团队和网站管理员本周急忙修补新发布的 PHP 漏洞，犯罪黑客迅速尝试利用这些漏洞。据 Cloudflare 的分析，在漏洞公布后的几小时内，数百万次的利用尝试出现，这一点并不意外，因为广泛访问的 AI 工具使攻击者更容易迅速利用漏洞。到目前为止，大规模受害者接管和安全 breaches 的噩梦场景尚未发生。PHP 基金会表示并未看到任何成功利用这些被统称为 PHP2Shell 的漏洞的案例，许多公开流传的潜在利用看起来似乎无效。然而，也许本周 AI 在混乱中最有趣的角色是，先进的模型帮助研究人员揭示了这些漏洞的实际利用，而这些漏洞至少部分时间已为人所知。换句话说，AI 帮助将历史漏洞转变为当前危机。那么，我们是否即将被几十年来潜伏的严重漏洞所冲击？安全公司 Calif 的研究人员是第一批识别 PHP2Shell 漏洞并在八月初创建利用的，他们部分使用了前沿 AI 工具，作为 OpenAI 的 Patch the Planet 项目的一部分，同时也利用了人类专家对 PHP 的动态和弱点的知识。某些基本问题在 2024 年被识别，但当时认为太复杂无法利用。在 Calif 的发现之后，OpenAI 和谷歌旗下的安全公司 Wiz 的研究人员独立使用 AI 工具发现了 PHP2Shell 的缺陷。“这个漏洞多年来一直为 PHP 团队所知，但由于它无法被攻击者利用——至少不是人类攻击者——因此没有得到解决，”Wiz 的安全研究员 Sagi Tzadik 说道。没有软件是完美的。即使是最重要、基础的数字工具中也不可避免地存在缺陷，但 AI 模型的扩展能力使得分析和潜在利用漏洞的速度加快。这给资源不足的 IT 团队、开发人员和管理员带来了更大的压力。微软本月的安全更新中包括创纪录的 1,453 个安全漏洞。同时，美国银行最近聘请了 1,000 名顾问来修复 Anthropic 的 Mythos 发现的缺陷。然而，安全研究人员强调，AI 最终并没有做任何新事物，而是放大了漏洞发现和协调披露的现有动态。“我们肯定会看到更多这些在过去十年或更长时间里出现在每个软件版本中的长期存在的漏洞，”Hunter Strategy 的研究与开发副总裁以及前 NSA 黑客 Jake Williams 说道。“但是我认为，这种低悬果实的数量是有限的。没有多少其他事物具有 PHP 的特定适用范围。这是一个相当混乱的攻击面——大多数其他工具并不设计为暴露在互联网上。”研究人员还指出，即使是使用前沿模型，大多数复杂的 AI 辅助黑客示例也涉及人类专业知识。正如首先发现 PHP 漏洞的 Calif 研究员 Ryan Austin 本周所写的那样，“没有模型仅凭简单提示就能发现‘所有漏洞’。至少在现在如此。”简言之，安全工程师和研究员 Niels Provos 说，大家可以稍微放松一下紧张情绪。“说实话，我并不太担心，”他说，关于 AI 发现最近可被利用的历史漏洞或缺乏 AI 而无法真正利用的新漏洞。“人们现在使用 AI 已经超过一年了，而找到这个漏洞需要一个高技能的团队。我想我们将看看我是否完全错了，但我对此表示怀疑。”