AI 开始真正参与网络安全攻防，而这一次它站在了防守方——至少暂时是。

发生了什么

据 The Decoder 报道，在名为 Patch the Planet 的计划中，OpenAI 的 GPT-5.6 Sol 发现了一个关键的 PHP 漏洞，可能影响数百万个网站。与此同时，安全公司 Wiz 使用 Google 的 Gemini 4 Argon 独立发现了同一个缺陷。两家机构用不同模型、不同路径指向了同一处问题，这本身就是一个值得注意的信号。OpenAI 同时发出提醒：能够用来发现漏洞的 AI 能力，同样可以被攻击者用来寻找可利用的入口。

为什么重要

漏洞挖掘长期是高度依赖人力的工作：安全研究员需要阅读大量代码、理解运行时行为、构造边界输入，成本高、周期长。大模型在这类任务上的优势在于可以不知疲倦地扫描代码库、跨文件追踪数据流，并对可疑模式给出解释。两个模型独立命中同一个真实漏洞，说明这类能力已经从演示阶段走向可复现的工程实践。

更关键的是对称性。防御方用 AI 扫描自己的代码，攻击方也可以用同样的模型扫描开源组件、CMS 插件和第三方依赖——PHP 生态恰恰是这类代码最密集的地方，大量中小网站运行着长期无人维护的代码。漏洞被发现的速度提升，对双方是同时生效的。

影响与看点

对开发者而言，最直接的变化是「AI 代码审计」会更快进入日常流程：不是替代人工渗透测试，而是把初筛成本压到接近零，让人的精力集中在验证与修复上。对使用 PHP 建站的中小团队，这类新闻的现实含义是补丁窗口在缩短——漏洞从被发现到被利用的间隔可能进一步压缩。

值得关注的还有归属与披露机制。当漏洞由模型而非人类发现，谁算发现者、如何协调披露、模型厂商是否应获得署名，目前都缺乏共识。Patch the Planet 这类计划的价值，部分正在于为这些问题积累先例。

一个克制的判断是：AI 找漏洞的能力不会单独利好防守方。真正决定安全水位的是修复速度与覆盖率，而不是发现速度。当发现变得廉价，修补反而成为新的瓶颈。