👁 94 次阅读
今天是 2026 年 10 月 22 日。今天 AI 圈最重磅的新闻不是模型发布，而是一场由 AI 主导的安全发现：云安全公司 Wiz Research 披露了代号「PHP2Shell」的连环漏洞——AI 首次在 PHP 核心引擎中挖出可远程执行代码的致命缺陷，全球约 70% 的网站因此告急。以下是今日 AI 行业三大热点速览与深度解读。
一、PHP2Shell：潜伏十年、打穿 70% 网站的致命漏洞
Wiz Research 本周披露，PHP 核心引擎存在多个内存安全漏洞，统一归入两个 CVE（CVE-2026-109618 与 CVE-2026-109619），最高 CVSS 评分达 9.2。PHP 驱动着 WordPress、Drupal、Joomla、MediaWiki 等系统，支撑全球约 70% 的网站——漏洞位于 PHP 引擎本身，与上层应用代码无关，哪怕只跑一句 Hello World 的站点同样中招。过去十年发布的所有 PHP 版本（最早可追溯到 PHP 5.4）至少受其中一个漏洞影响。
攻击者无需任何认证即可远程执行代码，还能越权读取 PHP 进程内存，其中可能包含密码、认证令牌、API 密钥和证书。Wiz 已用名为 php2shell 的单一利用脚本，在未认证状态下成功攻破最新版 WordPress、Drupal 和 Joomla 容器。这些缺陷已潜伏超过十年，Wiz 称之为「软件史上最严重的漏洞发现之一」，并将其与 Heartbleed、Log4Shell 相提并论。PHP 官方已发布修复补丁，Wiz 强烈建议所有站点立即更新。
二、AI 改变漏洞利用的经济学：一周胜过专家团队数月
最值得关注的不仅是漏洞本身，而是它如何被发现。Wiz 团队使用自家的 Wiz Atlas，配合 Gemini 4 Argon 与 GPT-5.6 Sol 完成了漏洞挖掘、利用开发、攻击检测与补丁验证，其中 Gemini 4 Argon 的贡献尤为关键。Google DeepMind 的 Gemini 安全负责人 Raluca Ada Popa 表示，这些漏洞暴露十年未被修复，正是因为发现与利用过程极其复杂——是前沿 AI 帮防御者补上了这块短板。
漏洞利用需要把多个缺陷串联，还要针对不同 PHP 版本、配置与内存布局反复适配。过去这需要世界级团队数月的人工劳动；借助 AI，一名研究员一周内就完成了全部工作。正如 Wiz 所言，随着所需时间与专业门槛下降，复杂度将不再构成有效屏障，安全界正在重新定义「什么算可利用的漏洞」。这枚硬币的另一面是：同样的能力也可能被攻击者用来规模化打穿老旧系统——防御与攻击的门槛被 AI 同时拉低了。
三、今日其他热点速览
【OpenAI 用数千个 AI Agent，32 分钟挖出脑科学新线索】OpenAI 联合 PerturbAI 与 Scripps Research 宣布，用 1946 个由 GPT-Rosalind 驱动的 AI Agent 并行分析小鼠全脑 CRISPR 图谱（覆盖约 770 万脑细胞），仅 32 分钟就完成了人类需数月到一年的文献梳理与分析，生成「推理图谱」并提出可验证的科研假设（如 Tsc1/Tsc2 在小脑的差异、DCTN1 基因与胆固醇代谢的关联）。30 位博士级生物学家盲评，结果支持了智能体对研究线索的排序。
【Google DeepMind 员工因军事 AI 合同集体辞职】BBC 报道，多名 Google DeepMind 员工因公司推进军事 AI 应用而辞职，伦敦研究工程师 Sofia Liguori 直言「为公司越来越把 AI 推向军事行动感到羞耻」。今年初 Google 与美国国防部签署合同，允许 AI 用于「任何合法政府目的」；美国防部长 Hegseth 更提出打造「AI 优先的战斗力量」，员工担忧 AI 可靠性不足且缺乏有效人工监督。
总结
今天的头条给行业上了生动一课：AI 既是攻破十年顽疾的利器，也是重新定义攻击门槛的推手。对站长与企业来说，第一时间打上 PHP 补丁是当务之急；对整个行业而言，AI 正在把深度安全研究从专家特权变成常规能力——这是机会，也是挑战。