Patch the Planet：AI 发现 PHP 严
来自 OpenAI Blog · 期号 2026-10-21
摘要
OpenAI 的 Patch the Planet 计划用 GPT-5.6 Sol 发现了 PHP 的严重漏洞。 OpenAI 联合 PHP 维护者、Wiz、Cloudflare 等安全厂商，在公开披露前协调修复与防护。这是 AI 首次在攻击者之前发现具有互联网级影响的漏洞，为防御者争取了准备窗口。 OpenAI 提出一个五阶段全球漏洞响应框架：验证并修复上游漏洞、给受影响组织留出行动时间、协调政府保护关键系统、跨受影响产品准备更新、发布补丁并支持部署。 OpenAI 还承诺通过 Daybreak for Frontline Defenders 提供 10 亿美元补贴访问，并呼吁安全社区对披露窗口和紧急修补等环节提出改进意见。
深读
导读 OpenAI 宣布其 AI 系统（GPT-5.6 Sol）在攻击者之前发现了 PHP 中的严重漏洞，并联合 PHP 维护者、Wiz、Cloudflare 等安全厂商在公开披露前完成了修复与防护。这是 AI 首次在具有互联网级影响的软件中发现零日漏洞，为防御者争取了准备窗口。文章详细介绍了 OpenAI 提出的五阶段全球漏洞响应框架，并承诺投入 10 亿美元补贴安全防御者使用其 AI 工具。 关键信息 - 漏洞发现者：OpenAI 的 AI 系统 GPT-5.6 Sol（作为 Patch the Planet 计划的一部分）发现了 PHP 中的严重漏洞；安全公司 Wiz 也独立发现了这两个漏洞。 - 漏洞影响：PHP 是用于运行网站和 Web 应用的开源编程语言，OpenAI 称这是“近年来影响最大的安全问题之一”。 - 防御窗口：这是前沿 AI 首次在攻击者之前发现漏洞，为维护者和安全提供商在公开披露前准备修复和防护赢得了时间。 - 资金承诺：OpenAI 承诺通过 Daybreak for Frontline Defenders 提供 10 亿美元补贴访问，重点支持安全资源有限、保护关键服务的组织。 - 协调响应：OpenAI 与美国政府多个部门合作，包括白宫超级智能力量、国家网络总监办公室（ONCD）、网络安全和基础设施安全局（CISA）以及国际合作伙伴。 逐节讲解 全球响应协调 本节提出了一个五阶段框架，用于协调对广泛使用的软件中关键漏洞的响应。框架的核心是让维护者、研究人员、基础设施提供商和政府机构在公开披露前有序协作。 - 第一阶段：验证并修复上游漏洞。 维护者、研究人员和关键技术合作伙伴确认漏洞、评估影响、开发并测试修复方案。此过程包括使用前沿模型进行对抗性测试，以寻找绕过补丁的方法和相关变种。 - 第二阶段：给受影响组织留出行动时间。 确定哪些组织需要提前获取信息以准备防护措施。分发者可能需要为旧版本适配修复，托管提供商测试缓解措施，安全提供商准备 Web 应用防火墙（WAF）规则等检测或防御措施。 - 第三阶段：协调政府合作伙伴保护关键系统。 政府机构在协调更广泛的响应、将安全指导送达关键基础设施和其他基本服务组织方面发挥关键作用。 - 第四阶段：跨受影响产品准备更新。 当修复方案、指导和披露计划稳定后，维护者可以邀请更多分发者、托管和服务提供商、响应团队和运营者准备更新并覆盖缺口。 - 第五阶段：发布补丁后，发布指导并支持部署。 公开指导帮助人们评估暴露情况、找到权威更新或临时缓解措施，并确认修复已生效。响应持续进行，直到运营者完成部署并报告需要帮助的地方。 框架还讨论了信息共享的风险权衡：每个参与者只获得完成其保护工作所需的信息，从包含入侵指标的网络日志到更敏感的工作概念验证漏洞利用代码。如果出现野外活跃利用、信息泄露、公开的补丁或…