10 月 21 日，OpenAI 公布了一次由 AI 牵头发现的 PHP 漏洞修复全过程。两个漏洞都被评为严重级别，攻击者不需要任何账号，就能远程在服务器上执行代码。PHP 官方团队已在 10 月 21 日推出修复版本，并要求用户立刻升级。
漏洞是怎么被找到的：安全公司 Calif 借助 GPT-5.6Sol 先揪出一个严重缺陷，安全公司 Wiz 随后独立发现并上报了相关的两个漏洞。PHP 是撑起大量网站和建站系统的开源语言，从网页请求、数据库操作到后台业务逻辑都跑在它上面，底层一破，网站、云服务、企业系统都会被牵连。
这件事属于 OpenAI 发起的"Patch the Planet"（修补整个互联网）计划。它的思路是把软件维护者、安全研究人员、云服务商和政府网络安全机构拉到一条线上，赶在攻击者之前把风险压下去。OpenAI 把这段时间叫"Defender's Window"，也就是防守方抢先发现问题、写补丁、部署到位的那段窗口期。
配套的协调响应框架分五步：先验证漏洞并做对抗性测试，确认补丁真的挡得住，同时顺藤摸瓜找变种；再按防护职责分阶段给受影响组织提供技术信息，靠协议压住泄露风险；然后联合政府机构通知关键基础设施运营者，这次联系了白宫相关工作组、国家网络总监办公室和 CISA，并和国际伙伴协同；修复方案稳定后扩大范围，让发行商、云厂商、托管商提前备好更新，对装不了新补丁的老系统评估回移补丁或临时防护；补丁发布后给公众清晰的修复指南，并持续跟踪谁还没升级。
资源上，OpenAI 会提供 PHP 版本检查工具，计划推出配套的 Codex 技能，帮运维识别有风险的版本、锁定更新方案；同时承诺通过"Daybreak for Frontline Defenders"提供价值 10 亿美元的补贴额度，重点扶持有关键防护任务但安全资源有限的组织，另外通过 Codex for OSS 给开源维护者订阅支持。
boxiyunAI的看法
- 这是今天最该动手的一条。用 PHP 的站，先去后台或命令行看版本号，能升就升，别等。
- "AI 挖漏洞"是双刃剑。发现漏洞和写出攻击工具之间的时间差正在被压缩，防守方靠人盯已经跟不上节奏。
- 这次真正值得学的不是漏洞本身，是披露流程：先修好、再分阶段给信息、最后公开。国内不少项目还是"先发公告再想补丁"，等于给攻击者发导航。
- 10 亿美元的补贴听着大，落到中小企业头上还是要自己兜。别指望别人替你打补丁。
- 自建站最大的风险从来不是零日漏洞，是后台、插件、老主题常年不更新。这次是个提醒，不是例外。
AI 已经能替人抢时间了，但补丁最终还得有人点下去。对站长来说，今天要做的就三件：查 PHP 版本、升级、把后台和插件的更新提醒打开。剩下的分析，等升完级再看。
