最近发现的PHP2Shell漏洞为互联网基础设施的安全敲响了警钟。这一漏洞曾让Wikipedia和白宫等大型网站面临风险，其根源是一个早在2024年就向PHP Foundation报告过的漏洞。多年来，该问题一直被视为微小的“内存溢出”错误——这类漏洞通常只会导致程序崩溃，而非允许入侵。由于它并非立即产生危险，因此一直未得到解决，这导致了专家所称的“技术债”：即遗留软件中积累的微小缺陷，直到它们被武器化之前一直被忽视。
这张图片是第一段中讨论的遗留软件中的“技术债”和潜在缺陷的视觉隐喻。
AI正在从根本上改变这些缺陷被利用的时间线。虽然人类研究人员可能需要找到将崩溃转化为完整系统接管所需的“痛苦”特定推理（例如计算精确的内存跳转和位覆盖），但AI工具现在可以自动化大部分复杂的逻辑。在PHP2Shell案例中，一名Calif的研究人员在借助AI工具的帮助下，仅在独立审计后的两周内就找到了一种在主机服务器上运行任意代码的方法。这种转变意味着，顶尖的0.1%的安全专家现在可以成就更多，而那些略低于该门槛的人也能执行复杂的攻击，而无需理解底层语言的每一个细微细节。
这种加速造成了网络安全中的根本不对称：利用AI寻找漏洞正变得显著容易，而修复漏洞仍是一项高摩擦的任务。由于防御者必须确保补丁在不破坏大型旧系统现有功能的情况下堵住安全漏洞，开源维护者的负担正在加剧。为了应对这一问题，一些人正转向“形式化验证”，即由AI模型同时生成软件补丁及其正确性的数学证明。然而，由于AI仍可能产生幻觉，由人类检查的证明检查器仍是必要的最后步骤。在补丁修复变得像寻找漏洞一样可以自动化的之前，整个行业将面临一个快速且可能令人不堪重负的时期，即发现那些此前被认为太微小而无需修复的、数十年前的漏洞。