OpenAI牵头处置PHP关键漏洞，提出AI时代协同披露框架

10月21日，OpenAI发布文章，介绍Patch the Planet计划在过去两个月里牵头协调的一次PHP漏洞处置。PHP是广泛用于网站和Web应用的编程语言，因此这次修复牵涉大量站点、托管服务商与下游产品。

按OpenAI的说法，其团队借助前沿模型在Patch the Planet框架下发现了一处关键漏洞，安全公司Wiz则独立发现并报告了这两处漏洞。PHP维护者主导了修复与版本发布，Wiz、Cloudflare等伙伴参与研究、技术支持与协调，在公开披露之前准备好防护措施。

OpenAI称，考虑到这些缺陷的严重程度与PHP的普及度，这可能是近年来影响最大的安全问题之一。它同时点出一个两面性：AI能以互联网级的规模发现安全缺陷，同样的能力也能被攻击者用来快速开发攻击工具与利用代码。

决定这次事件走向的，不是漏洞本身，而是发现速度与修复速度之间的时间差。OpenAI表示，据其所知，这次是前沿AI先于攻击者发现了这些漏洞，从而为维护者和安全厂商留出一段可用的防御窗口，用来在披露前准备修复与缓解措施。

为了让更多防御方用上这种能力，OpenAI提到为安全资源有限、却在保护关键服务的机构提供补贴访问额度，并继续通过面向开源维护者的Codex计划提供工具支持。

文章的重头是一套五阶段响应框架：验证并修复上游漏洞，其中包含用前沿模型做对抗性测试以寻找绕过补丁的方式；给受影响机构留出准备时间；与政府伙伴协调保护关键系统；在受影响产品之间准备更新；补丁可用后发布指引并支持部署。OpenAI称已与美国政府多个部门及国际伙伴沟通，帮助修复指引触达关键基础设施运营方。

配套工具方面，OpenAI发布了PHP版本检测器，并将推出配套的Codex技能，帮助运维人员判断自己是否运行了受影响版本，再结合维护者与厂商指引确定该应用哪个更新。Patch the Planet网站则集中公开披露信息、官方升级说明与伙伴研究，也覆盖临时缓解措施以及备份与恢复。

OpenAI把这份框架公开征求意见，焦点问题包括披露窗口该有多长、在出现野外利用或补丁泄露时是否提前披露，以及下游软件包如何在等待上游修复期间维持“安全默认”。它预计未来数月类似的高危发现会明显增多，这也是它急于把响应流程标准化的原因。