一場由人工智能發現的網絡安全危機，近幾日迅速蔓延全球。
據路透社10月22日報道，全球多國政府和企業21日起進入網絡安全緊急應對狀態。日本部分金融機構暫停網絡服務，歐洲多國政府網站緊急關閉。網絡安全公司科賦銳信息科技（Cloudflare）監測到，全球相關網絡攻擊嘗試已達到數百萬次。
路透社報道截圖
引發這場風波的，是全球大量網站共同使用的一項基礎技術——PHP，被發現存在嚴重安全漏洞。
一個看似不起眼的軟體漏洞，為何能牽動全球互聯網？人工智能的介入，又意味著什麼？
“前臺系統”出問題了
大多數人可能從沒聽説過PHP，但這卻是我們幾乎每天都在間接使用的東西。
不妨把網站想像成一家酒店。我們平時看到的網頁，就是酒店的大堂，用戶是入住的客人，而PHP就像酒店的前臺系統。客人登記入住、查詢房間、辦理退房，都需要前臺系統核對信息、處理請求。
如今，人工智能幫助研究人員發現，這套系統中，竟然隱藏著存在了十多年的嚴重安全漏洞——在特定條件下，陌生人可以繞過身份核驗，向系統發出本來只有技術人員才能執行的指令，甚至獲取不該接觸的信息。
之所以觸發多國政府和企業的應急狀態，原因就在於全球大量“酒店”都在使用這同一套“前臺系統”。
駭客如何竊取伺服器裏的敏感信息（圖自Wiz網站）
駭客如何利用漏洞在網站伺服器上遠程執行惡意代碼（圖自Wiz網站）
根據互聯網技術統計機構萬維網技術調查公司（W3Techs）的數據，在能夠識別伺服器端編程語言的網站中，有大約七成使用PHP。從個人博客到企業官網，再到新聞網站，全球大量網站的後臺運行，都離不開PHP這項基礎技術。
據谷歌雲10月21日發佈的技術報告，此次發現的兩個漏洞，嚴重程度評分均達到9.2分，滿分為10分。攻擊者在特定條件下，甚至無需賬戶和密碼，就可能遠程執行惡意代碼，竊取敏感信息或控制伺服器。
而這場危機的影響，也可能波及普通互聯網用戶。由於PHP應用廣泛，一旦相關網站遭到攻擊，用戶的個人信息可能面臨洩露風險，日常依賴的網絡服務也可能受到影響。未來幾天，部分企業和政府部門的在線服務還可能因緊急安全維護而暫時中斷。
攻擊洶湧而至
這兩個被統稱為“PHP2Shell”的嚴重漏洞，早在今年8月就已被發現。
據OpenAI披露，8月11日，與其合作的網絡安全研究團隊借助人工智能模型發現並報告了相關漏洞。此後，Wiz也獨立發現了相關問題，並於8月24日提交報告。隨後，各方協調製定安全補丁和防護措施，直到10月21日才正式公開漏洞信息。
據英國科技媒體《The Register》10月22日報道，亞馬遜網絡威脅情報團隊發現，早在10月17日，也就是漏洞正式公開前四天，就已經有人嘗試利用相關漏洞發動攻擊。漏洞公開後，攻擊嘗試更是迅速攀升。
英國科技媒體《The Register》報道截圖
美國網絡安全公司科賦銳信息科技（Cloudflare）首席執行官馬修·普林斯透露，漏洞公開前10小時，相關攻擊嘗試已有數千次；公開後僅45分鐘，便上升至數萬次；兩小時內達到數十萬次，隨後累計突破數百萬次。
而修復漏洞的難度並不像給手機安裝一次更新那麼簡單。
據谷歌雲介紹，此次受影響的PHP版本跨度很大，部分舊版本早已停止官方維護。企業不僅需要更新軟體，還可能需要重新部署應用、測試相容性。對於依賴老舊系統的一些部門和企業而言，這意味著時間、成本和風險。
PHP官方已經發佈安全補丁，但一些機構仍不得不暫時關閉服務，以爭取修復時間。
AI揭開互聯網“老底”？
谷歌旗下網絡安全公司Wiz認為，此次事件引發的關注不僅源於漏洞本身的嚴重性，更在於人工智能幫助研究人員發現並驗證了潛伏多年的安全隱患。
Wiz的研究人員指出，相關問題在PHP代碼中其實已經存在十多年。過去，即便是專家注意到了某些異常，要轉化為可以驗證的現實攻擊，仍需要極其複雜的技術研究。
但是，人工智能正在改變這一局面。借助先進AI模型，過去可能需要頂尖安全團隊耗費數月的研究工作，如今一名研究人員可能在一週內完成。
這也讓技術人員意識到，一些漏洞之所以長期未被利用，並不一定是因為足夠安全，而可能只是因為發現和利用它們的門檻太高。如今，人工智能正大幅降低這道門檻。
美國阿克西奧斯新聞網10月21日援引網絡安全公司Island首席技術官邁克爾·利蘭的觀點指出，過去，網絡防禦者一直依靠“存在漏洞”與“漏洞能夠被利用”之間的時間差去爭取修復時間。如今這一時間差正迅速縮短。
阿克西奧斯新聞網報道截圖
當然，此次事件也展現了人工智能輔助防禦的能力。研究人員借助AI發現問題，PHP開發團隊與多家安全企業提前協調，在漏洞公開前就開始部署修復和防護措施。
據半島電視台10月22日報道，PHP基金會發出警告，無論對於防禦者還是攻擊者，如今工具發現漏洞的速度都比以往任何時候更快，未來漏洞報告的數量還將繼續增加。
這也就不難理解，事件影響的可能遠不止PHP。全球大量軟體系統都建立在經過多年開發、反復更新的代碼之上，其中是否還隱藏著類似的安全問題，尚無確定答案。
我們或許會問，AI發現一個潛伏多年的網絡安全漏洞，為何如此重要？因為它揭示的不只是一個技術隱患，更意味著人工智能正在打破互聯網安全的舊邏輯，改寫其維繫安全的某些前提。
來源｜總台環球資訊
撰稿｜張晗
簽審｜楊瓊
監製｜蔡耀遠
