AI扫描提速，企业加码，开源维护仍靠志愿者硬撑

据半岛电视台报道，PHP2Shell这组漏洞已在广泛使用的PHP代码中潜伏十余年，直到独立网络安全专家借助人工智能才被发现。多国政府随后敦促网站管理员紧急更新，部分政府和企业网站为打补丁短暂下线。PHP运行于全球约70%的网站；2021年成立的非营利PHP基金会负责协调其开发，却缺少与影响范围相称的资源。AI没有制造这些漏洞，而是把过去难以发现、也难以利用的缺陷更快推到维护者面前。

紧急更新只是起点，核验、去重和修补很快成为瓶颈。OpenUK首席执行官Amanda Brock对半岛电视台说，以现有资源不可能修完所有已知漏洞；规模较小的基金会没有数亿美元资金，按AI要求的速度管理漏洞已不现实。报道指出，Meta、Google、OpenAI和Anthropic等大型企业都依赖由志愿维护者支撑的开源基础设施。当商业平台能用模型迅速扩大缺陷搜索面时，基金会和志愿社区却未必有足够人手逐一排查、修补并发布更新。

检出量的上升有清晰数据。据半岛电视台报道，谷歌称最近一次Chrome更新发现逾1000个安全漏洞，超过此前24次更新的总和；Mozilla在4月发现逾400个漏洞，而一个月前的单月纪录为76个。Apache软件基金会志愿安全团队成员Jarek Potiuk称，团队现在可能有平时约10倍的问题，因为正在使用AI寻找它们。这些数字衡量的是检出量；漏洞是否已经验证、是否可利用以及是否遭到攻击，不能仅凭数量判断。

企业已开始投入资金和模型额度，扩大这种扫描能力。据半岛电视台报道，Anthropic启动Project Glasswing，提供1亿美元模型额度，一个月内在1000多个开源项目中发现逾2.3万个漏洞。Apache软件基金会的Alpha-Omega项目获得Anthropic、Amazon、谷歌、微软和OpenAI支持，每年约投入700万美元，扫描基金会维护的290个软件包。模型额度可以扩大扫描覆盖面，却不能取代发现后的人工核验。Potiuk对半岛电视台说：“AI能帮你找到这些问题，但你必须核实、复核。”逾2.3万个数字属于扫描发现量，不能直接写成2.3万个已经验证或可利用的漏洞。

扫描速度上升，修补负担却主要落在长期缺少资源的维护者身上。Potiuk建议，依赖开源组件的谷歌、微软等大型企业可以让员工把部分工作时间投入相关项目，而不是只在危机发生后提供扫描额度。2021年的Log4Shell无需AI即被发现，却已使攻击者能够在数百万台设备上远程运行代码，并让汽车、微波炉等联网设备暴露于风险之下。对使用PHP、Apache等组件的政府和大企业而言，把上游维护纳入持续预算、安排员工投入维护工作并维持稳定的响应能力，比临时增加模型额度更接近实际风险承担。否则，AI提高发现率只会继续把更短的修补期限转给资源不足的基金会和公众用户。

半岛电视台援引麻省理工学院FutureTech研究员Peter Slattery称，目前既有更多漏洞被及时发现和修复，也有针对广泛系统的攻击；现有证据并未表明AI已经造成大规模利用。PHP2Shell目前表明的是，发现速度已经改变，而修复能力尚未同步。决定风险能否下降的，不只是模型能否找到漏洞，还包括掌握模型资源的企业是否愿意把人员和预算投入上游维护。否则，AI带来的就不是更快的修复，而是不断缩短的修补期限，首先压到资源不足的基金会和志愿维护者身上。