Patch the Planet：OpenAI 用 AI 发现 PHP 关键漏洞并协调全球修复
更新日期：2026年10月21日
OpenAI 表示，过去两个月里，他们牵头组建了由维护者、研究人员和安全厂商组成的联盟，处理 PHP 中的关键漏洞。Calif 在 Patch the Planet 计划中使用 GPT-5.6 Sol 发现了一处关键缺陷，Wiz 也独立发现并报告了这两个漏洞。PHP 维护者主导修复和发布，OpenAI、Wiz、Cloudflare 等伙伴提供研究、技术支持和协调。
对于使用 PHP 的组织，当前最重要的动作是应用官方修复。OpenAI 分享了 PHP 版本检查器，并计划提供配套 Codex 技能，帮助运维人员识别可能受影响的 PHP 版本，再结合 PHP 及供应商指导确定应安装的更新。
协调全球响应
修复措施投入使用，通常需要调整旧版本、准备供应商缓解措施，并让许多组织更新系统。随着更多漏洞被发现，可重复的流程有助于团队快速行动。
Patch the Planet 为 PHP 响应提供安全专业知识和模型访问权限，并与维护者和研究伙伴测试修复措施、准备指导。团队还帮助协调基础设施提供商为受影响系统提供防护，并联系政府网络机构，协助向关键组织传达信息。
有些发现可以由研究人员直接与软件维护者合作调查并修复；另一些发现影响大量产品，或需要分销商和服务提供商准备更新，因此需要更广泛的响应。OpenAI 提出的框架包含五个阶段：
- 验证并修复上游漏洞。 维护者、研究人员和关键技术伙伴确认发现、评估影响、开发并测试修复方案，并使用前沿模型进行对抗性测试，寻找绕过补丁的方法和漏洞变体。
- 给受影响组织留出行动时间。 根据组织的防护角色和准备防护所需的时间，决定哪些团队需要提前获得信息，并协助开展外联、信息共享和协调。分销商可以为旧版本调整修复，托管服务商可以测试缓解措施，安全厂商可以准备检测或防御规则，包括 Web 应用防火墙（WAF）规则。
- 与政府伙伴协调，保护关键系统。 政府机构可以协调更广泛的响应，帮助把安全指南传达给关键基础设施和基本服务组织。PHP 案例中，OpenAI 表示与美国多个政府部门和国际伙伴接触，以支持这项工作。
- 在受影响产品中准备更新。 随着修复方案、指南和披露计划稳定，让更多分销商、托管和服务提供商、响应团队及运营人员参与，准备更新并弥补覆盖缺口。
- 补丁可用后发布指南并支持部署。 公开指南帮助运营者评估暴露风险、找到权威更新或临时缓解措施，并检查修复是否生效。随着部署推进，响应工作继续跟踪问题和反馈。
该框架还考虑组织的防护角色、行动所需时间以及处理敏感信息的能力。每位参与者只获得开展防护工作所需的信息，可能从带入侵指标的网络日志到更敏感的概念验证漏洞利用。即使有限细节也可能暴露漏洞，因此需要权衡共享风险和防护收益。
如果野外出现活跃利用、漏洞细节泄露、补丁公开导致暴露，或者修复停滞使用户风险上升，响应团队应重新评估披露时间线。
Patch the Planet 网站汇集公开披露信息和指导，帮助运营者识别受影响系统、找到正确更新并验证软件正常运行。PHP 页面包括维护者的官方补丁和升级说明，也包含合作伙伴的研究、临时缓解措施、供应商支持建议以及备份和恢复提示。CISA 的风险排序与安全更新指导可用于评估修复优先级。
为维护者提供响应所需的能力和资源
全球协调依赖维护软件的人。许多开源项目由小型团队运营，他们需要在日常开发之外审查安全报告、区分重复问题、评估影响，并在受支持版本上测试修复。
OpenAI 表示，将通过资金、模型访问权限和工程支持帮助维护者。其投入包括通过 Codex for OSS 为维护者提供订阅，以及赞助 Rust 基金会等项目。开源项目也可以通过 Trail of Bits 的 Patch the Planet 申请页面申请实地支持。
OpenAI 还在为 Daybreak 校准额外的拦截分类器，以降低模型能力被滥用的可能性。安全防护可能阻碍合法研究，因此需要在保留防御者发现和修复漏洞所需能力的同时，限制有害使用。
构建更安全的软件基础
随着模型能力增强，机会不只在于发现和修复单个漏洞。改进广泛使用的组件，可以防止缺陷或限制其影响扩散到许多产品和服务。OpenAI 认为 AI 可以帮助工程师理解现有代码、准备变更和开发测试，但这些变更仍应由维护者和安全专家验证。
重点方向包括：
- 从一开始保障代码安全。 编码模型可以帮助选择更安全的默认设置、正确使用安全库，并在编写代码时捕捉风险模式。
- 内存安全软件。 将关键组件迁移到内存安全语言，可以消除常见的内存错误类别；AI 可协助迁移，再由测试和专家审查兼容性。
- 形式化验证。 数学证明可以在既定假设下说明关键组件满足指定安全属性。
- 更强的隔离。 在严格受限的沙箱中运行不受信任文件、图像或媒体处理软件，可以在软件被攻破时限制损害。
帮助改进这一方法
OpenAI 分享这套方法，是希望维护者、研究人员、响应团队、供应商和运营者共同改进它。重点问题包括：修复准备需要多长披露窗口、什么证据应触发更早披露、紧急修补应满足哪些保障措施、哪些防御者需要提前通知，以及如何让旧版本或下游软件包获得可靠的安全更新。
团队也欢迎独立安全专家审查该方法、质疑其假设并找出缺口。对于组织来说，最实际的准备工作包括建立资产清单、确认 PHP 版本与供应商来源、订阅安全公告、测试补丁回滚，并在补丁发布后验证生产环境是否真正完成更新。
来源
本文根据 OpenAI《Patch the Planet: global response coordination as agents uncover critical vulnerabilities》整理。漏洞编号、受影响版本、补丁和披露时间线应以 PHP 维护者、供应商与 OpenAI 的最新公告为准，不应将本文作为具体环境的漏洞判定或替代安全响应流程。