本周早些时候发布了一项令人震惊的公告：由于开源编程语言 PHP 中近期发现漏洞，网站所有者必须立即修补；若无法即时更新，为安全起见应暂时关闭网站。
在 TechCrunch’s Equity podcast 节目中，Kirsten Korosec、Sean O’Kane 与我探讨了“PHP-ocalypse”的影响及未来是否会出现更多类似事件。
Sean 称这是一个“真正的清算时刻”，凸显出互联网底层架构看似仅靠“胶水和梦想”维系；随着大型语言模型（LLM）和 AI 代理的普及，发现此类漏洞将变得更加容易（注：本次特定漏洞由人类研究人员发现，而非 AI 模型）。
Kirsten 则担忧我们正迎来更高级别的恐慌。考虑到银行等关键基础设施可能被利用，叠加数据与隐私问题，其严重程度或远超当前修复能力。
以下为经过删减润色的对话预览：
Sean：本周互联网似乎在多方面面临崩溃风险。
对于新接触该话题的人，不妨这样思考：过去十年间，我们经历过多少次因个人爱好者维护微小代码库而偶然发现恶意行为，从而避免互联网基础设施彻底崩溃的时刻？
如今这一风险被放大了数十亿倍。人们不仅能接触到先进的 LLM，还能通过创建专注任务的 AI 代理来指示其自主行动。
本周我们见证了两种力量的博弈：一方面，Google 和 OpenAI 等实验室派人发现了包括 PHP 在内的多个漏洞；另一方面，许多人急于利用这些漏洞尝试入侵。这导致政府及部分热门网站被迫短暂下线修复。
这是一个真正的清算时刻，我们将直面将互联网构建于 PHP 等开源技术上的下行风险。深入互联网底层结构时，会发现它实际上是用“胶水和梦想”粘合在一起的。
Anthony：此事有多处令人震惊之处。据我了解，这并非新漏洞，而是存在于 PHP 中数十年的旧疾。
PHP 作为构建大量网络应用的语言已使用多年，该漏洞虽存在数十年却鲜为人知。本质上，是包括现属 Google 的 Wiz 在内的大型 AI 公司利用 LLM 找到了这些漏洞。（更正：参与 OpenAI 和 Wiz “Hack the Planet”计划的人类研究人员发现了这些漏洞，尽管他们使用了 AI 来辅助利用该 bug。）
既然我们能通过 LLM 发现此漏洞，他人亦然。为使补丁广泛传播，公开漏洞成为唯一途径。这引发了极度恐慌：“该漏洞已存在数十年，你必须立即修补，否则就关闭网站。”其严重程度可见一斑。
Kirsten：关键在于，许多人并未意识到自己的网站使用的是这种拥有几十年历史的开源语言 PHP。
PHP（Hypertext Preprocessor）是支撑 WordPress、Drupal 等内容管理系统的核心组件，全球约 70% 的网站（涉及数千万个站点）都在使用它。规模之巨令人警醒：第一，这可能只是开始，还有哪些老旧劣质软件面临被利用的风险？
第二是 404 Media 提到的“链接腐烂”（link rot）。由于许多个人、企业乃至政府网站选择直接关停而非修补，我们将面临大量历史信息丢失，部分曾保留历史记录的网站将不再可访问。
Sean：Anthony 的观点非常精准。许多人对此次披露流程感到不满，尤其是 OpenAI 相关帖子中的自我吹嘘态度。
此外，禁运信息似乎被提前泄露，在黑客群体中引发了一场竞赛。Cloudflare CEO Matthew Prince 已发帖称，针对 PHP2Shell 的攻击尝试已激增至数百万次。
这类基础性漏洞的问题在于，传统网络安全运作方式是向受影响公司私下披露并在内部闭环处理。但当问题深入到互联网基础层面时，无法再逐一私下告知。
除非 AI 足够先进，能派遣数十亿智能体向每个网站管理者发送邮件。我们正在怀念易于识别网页管理员的时代，但如今已无简便方法。我认为这将开启网络安全领域新一轮反复博弈的新前沿。
Kirsten：Matthew Prince 的社交媒体帖子发人深省且令人担忧。另外，亚马逊也发布了博客文章。作为资金雄厚的公司，他们拥有工具和团队监控事态，甚至运营着蜜罐网络，在漏洞公开披露前就发现了利用尝试。
这回到了原点：Amazon 拥有对抗此类问题的工具、资金和专业能力，而众多网站（包括部分政府网站）却缺乏同等程度的关注，这才是真正令人担忧之处。
此外，AI 员工可能会将这种“末日准备者”式的焦虑推向新高度。鉴于银行可能被利用及数据隐私担忧，问题范围远超当前解决能力。因此我关注两点：一是人们的反应会有多极端；二是是否会涌现出新创公司，或转向依赖 Nvidia 等公司提供的开源工具来构建安全层。