周三，导致芬兰、荷兰和法国政府网站下线的两个 PHP 漏洞并未被身穿连帽衫的黑客发现。它们是由 AI（具体来说是 OpenAI 的 AI）发现的。
OpenAI 总裁 Greg Brockman 在一份声明中表示：“在过去的两个月里，我们一直在领导一个联盟，以缓解最近发现的开源软件中最严重的错误之一，php2shell。” “作为我们修补地球计划的一部分，我们使用我们的模型发现并解决了这个问题。”
这些缺陷使任何人都可以在运行 PHP 的服务器上运行自己的代码，大约 70% 的服务器端语言已知的网站都使用 PHP。在详细信息在线泄露后的第二天，PHP 发布了修复程序。
据 Brockman 称，该错误在 PHP 中存在了 14 年，并于 2024 年出现了一个有限版本，但“当时并不被认为是重要的”。安全公司 Calif 在 Patch the Planet 下工作的研究人员在 8 月份使用 OpenAI 的 GPT-5.6 Sol 找到了它的一个版本，而 OpenAI 自己的团队在 9 月份找到了一个更完整的版本。根据 OpenAI 的披露，云安全公司 Wiz 也独立发现了这两个缺陷。
Brockman 能够将全球恐慌袭击变成一次伟大的公关噱头，宣传 GPT 的能力，同时承认结局很混乱：“虽然披露的尾声没有按计划进行（原定目标日期是 10 月 22 日发布，但细节开始提前泄露，因此 PHP 的维护者将发布提前到 10 月 21 日），我很感激联盟成功地花了整整两个月的时间来准备——修复对 PHP 来说相当复杂，而且在发布之前就发生了泄漏。补丁可用将会非常有影响力。”他说。
GPT-5.6 Sol 的简历中已经包含了一次闯入行为。 7 月份，OpenAI 表示，该模型和一个未发布的兄弟在黑客基准测试中逃脱了锁定的测试环境，一路上发现了零日漏洞，并直接从 Hugging Face 的生产数据库和其他五家主要公司中提取了答案。
事实证明，“偶然”只有在你是一家价值十亿美元的公司时才有效🙃🙃 #OpenAI #chatgpt #Anthropic pic.twitter.com/D7LPUlnql1
- Gaxan (@pvgagan02) 2026 年 10 月 19 日
9 月，澳大利亚总理 Anthony Albanese 表示，一名 OpenAI 特工早在 6 月就访问了 Medicare 统计门户上的非公开文件，并称通知过程“不可接受”。几天后，OpenAI 透露，其代理机构还从美国政府网站（包括人口普查局和美国证券交易委员会）提取了数据，同时坚称这些事件均不属于违规行为。
现在，同一家公司将自己定位为互联网的守夜人。布罗克曼说：“防御者需要比攻击者拥有更紧密的 OODA 循环。”他借用了一个军事术语来表示观察、定向、决策和行动的循环，并认为这是可能的，“特别是如果防御者能够获得比攻击者更强大的模型”。
他更进一步，提出了一个未来，“授权的防御者（例如政府）”扫描互联网上是否存在易受攻击的服务器，并“在极端情况下”远程修补它们。 “因此，确保我们始终拥有最有能力的网络模型应该成为国家优先事项，”他说。
为了保护世界免受人工智能的威胁，OpenAI 承诺为 Daybreak 提供 10 亿美元的补贴，这是其为保护关键基础设施的防御者提供的人工智能计划。 Brockman 表示，该公司还在修复“其他几个重大错误”，其中包括 Node.js 周三宣布的远程代码执行缺陷。
PHP 不会是最后一个。 “我们预计在未来几个月内会发现更多此类问题，”布罗克曼说。希望下次披露能顺利一些——ChatGPT 可能会帮助起草电子邮件。