21世纪经济报道记者 章驰 肖潇
一个被默认为“早就过时”的技术PHP，突然成了整个互联网的安全软肋。
全球正在出现一波罕见的网站关闭潮。维基百科短暂关停，任天堂进入维护状态，就连平时用来点单的寿司郎小程序也一度中断。这场风波被称为近年影响力最大的一场安全事件，AI究竟会把网络安全推向怎样的局面？
PHP是上世纪九十年代诞生的编程语言，开发周期短、上手快、效率高，是早期互联网项目最常选的语言。到今天，全球仍有大约七成网站跑在PHP上，电商、内容社区、客户管理系统、政务后台，很多看起来光鲜的线上生意，底层依托的正是它。
这次出问题的PHP漏洞，属于漏洞评分体系里的最高一档，可以这样理解：普通漏洞像小偷配到了钥匙，但门里还有反锁；这个漏洞相当于直接把门拆了。
更大的麻烦是现在使用最广的PHP版本是7.4，它在2022年就停止维护；全球大约79%的PHP服务，跑的都是官方已经放弃更新的版本，连直接升级到对应新版本的路都没有。
为什么大家不改？核心是技术迁移成本太高。PHP后续更新要兼容数据库和其他业务模块，一个网站覆盖几千上万个节点，一次更新可能耗费几十万甚至上百万元。再加上外包开发的传统，项目交付后开发团队解散了，剩下的运维团队甚至找不到能更新的人。所以很多系统只要还能跑，就一直沿用老版本，“缝缝补补又三年”。可补丁一层层积累下来，三五年之后再想修，几乎就不可能了，只能全部推倒重来。
如果只是一个老语言翻车，它撑不起“影响力最大”这几个字。真正让整个安全圈坐不住的，是AI。
这件事要往回追二十年。这个漏洞其实2004年就被研究人员发现过。当时为什么没修？因为人类黑客要利用它，得花数周时间做枯燥的手动调试，耐心和体力往往撑不住。业内给这种靠“累死黑客”换来的安全起了个名字，叫“靠消耗换安全”。它并非无法攻破，只是攻破的代价太高。这道隐形屏障，支撑了互联网二十年。
可今年，AI把它打破了。今年8月，有安全公司在研究过程中借助前沿大模型，证明这个存在了二十年的漏洞能够被实际利用，整条攻击链被压缩到可操作的范围。几乎同时，另一家安全公司表示，他们的AI早就独立发现了漏洞，只要让它去“查找PHP里的恶意缺陷”就能找到；谷歌也说，Gemini参与了漏洞发现过程。OpenAI把这一趋势定性为近年最重要的安全问题之一。
攻击一个庞大系统的门槛，被AI大幅拉低了。AI没有编程知识的天花板，也不需要休息，那些藏得很深、多年没被发现的高危漏洞，正在被批量挖出来。今年七到九月登记的漏洞数量，已经超过2023年全年；新漏洞还在以每天约四百个的速度累积。更直接的变化是：模型人人可用，理论上每一个漏洞都可能还没修补，就已经暴露。
但AI不是只帮进攻方。防御侧同样在用它。有人把修补全过程托管给AI，自己只负责下指令和验收，节省了大量修复时间。有人用AI把PHP 4.7的系统升级到版本8，几千块钱成本、两周时间完成。
当前问题不是AI帮不帮防守，而是：两边拿到的增益，对等吗？
第一种判断偏乐观。漏洞被扫出来得多，不等于每次都致命；运维也在大规模用AI，哪怕没有安全经验的人，现在也能很快处理告警。过去几十年，从来没有出现攻击方彻底压过防守方的局面，矛变利了，盾也会跟着变硬。
另一种判断完全相反。攻防本来就是不对称的：发射一枚导弹很容易，拦截一枚导弹难得多。攻击者只需要找到一个突破口，防御者却要堵住所有可能，只要有一个短板被击穿，之前所有防护工作都会归零。AI对防守的提升主要是降本增效，十个人的活一个人干，效率上去了，能力边界其实没变；但对进攻方，它是从零到一，把原本需要天赋和苦功的门槛直接推平。于是你会看到一种奇特的景象：补丁追着漏洞跑，永远慢半步。一线从业者把现在的应对策略称为“地堡模式”，先躲起来，尽量把自己掩护好。
产业界已经在押注答案。Anthropic“玻璃之翼”项目，提前向基础系统和公共机构开放模型能力，把防火墙先码高；OpenAI“修复星球”项目则试图利用AI加快漏洞修复，为防御方争取时间；月之暗面在训练阶段主动剥离了网络攻击相关数据，只保留通用编程能力；近期亦有开发者在DeepSeek官网前端代码中发现，公司可能在秘密测试网络安全专用API。方向高度一致：把AI的能力，尽可能往防守一侧倾斜。
当攻击的边际成本被AI压到接近于零，安全的定价方式，也得跟着重写。
（作者：章驰 编辑：王俊,张程 视频编辑：章驰）