全球运维忙坏了，AI把互联网埋了14年的雷挖出来了

具体来说，在研究员的带领下，GPT-5.6 Sol 等AI审核了PHP 的底层代码，发现PHP存在“数据只写了一半，却被当成完整数据”的异常路径。接着，把这条线索整理成可复用的审计规则，继续往下查，又发现了第二个问题。

这件事的意义不止于“AI 找到了一个 bug”。PHP 已经运行了十几年，很多代码在当年是够用的，只是按今天的安全标准重新看有些过时。AI 把这种沉睡风险加速翻了出来，也让防御方抢在攻击者之前获得了一个时间窗口。

但问题也随之而来：如果 AI 能帮好人更快地发现漏洞，它是不是也能帮坏人更快地利用漏洞？

更棘手的是，这次漏洞的细节在补丁发布之前就已经外泄，攻击者甚至跑到了补丁前面。 而 PHP 官方已发布的几个修复版本，PHP 8.1 及更早版本都不能获得正式更新，只能靠源码补丁或发行版回补。

也就是说，很多网站的困境不是修不修？而是能不能修？修到哪一步？修完会不会把业务搞崩？

漏洞被发现，只是第一关。真正难的是后面：资产清点、版本兼容、测试验证、灰度升级、重启进程、确认旧进程是否还在跑。AI 把发现漏洞的速度拉满了，但修复这件事，仍然卡在组织、流程和旧系统里。

确实，在AI的加持下，挖漏洞的门槛正在降低，但防御的速度却未必跟得上。AI 让“发现”变得廉价，可“修复”仍然昂贵。

AI 能更快找到漏洞，互联网为什么还是修不好？

其实，这两处漏洞并不是今天才被发现。

PHP 基金会表示，CVE-2026-109618 的线索，最早出现在 2024 年 PHP 项目的一次外部安全审计中。当时，一名核心开发者在修复审计发现的问题时，已经注意到了相关隐患……“迟迟没有修复，是一次结构性失败”。

PHP 基金会的说法，揭示了一个困境：对程序员来说，找出漏洞往往比修好它更简单。

就像PHP基金会自己说的，多种修复方案都各有代价：有的可能破坏向后兼容，有的可能引入新的拒绝服务风险，还有的需要协调大量第三方扩展。

修复工作因此停了又启、启了又停，问题被搁置了下来。直到这一次，它被GPT-5.6 Sol发现。

其实，更大的矛盾是，全球不少商业巨头、创业公司，都在免费享用 PHP 这类开源软件打下的地基，可地基的维护，长期压在一小批志愿者和捉襟见肘的资金上。

PHP 基金会曾多次公开呼吁：那些靠开源赚得盆满钵满的公司，有没有拿出与自己依赖程度相匹配的投入？

去年9月，Java、Python、PHP、Rust、Eclipse 等基金会还联合 OpenSSF 发布声明，直接喊话大企业：“开源基础设施并非免费”，长期免费使用不可持续，商业用户应该为基础设施付费。

说白了，问题不是没人看见漏洞，而是看见之后，谁来付钱、谁来承担兼容风险、谁来为那些早已无人维护的系统兜底？

AI 的出现，把这种问题放大得更明显了。它让“发现漏洞”变得前所未有地快，却无法自动解决“修复漏洞”这件最费人力的事。补丁要不要打？打了会不会出事？由谁来审？企业要不要立刻更新？老系统迁不迁移？……每一步都需要组织和人来做决策。

AI 确实提高了找到问题的速度，却把修问题的责任，原样留给了本来就已经人手不足的生态。

所以，当 AI 越来越擅长找漏洞，互联网真正的短板到底在哪？

（本文题图为AI生成）