AI 让“找到漏洞”这件事的成本急剧下降，而修复的速度并没有同步跟上。
发生了什么
据 WIRED 报道，安全研究人员使用 AI 工具，在 PHP 这门广泛使用的 Web 脚本语言中发现了存在多年的旧漏洞。报道的关键转折在于：漏洞被披露之后，AI 辅助的攻击活动随之出现。也就是说，AI 不只被用来“找洞”，也被用来“打洞”——同一套能力在攻防两端同时生效。
报道没有给出漏洞的具体数量、影响范围或攻击规模，但“多年老漏洞”这个描述本身已经说明问题：这些缺陷并非新近引入，而是长期存在于代码库中，只是此前没有被系统性地挖掘出来。
为什么重要
PHP 是互联网基础设施中覆盖面极广的一环，大量网站、CMS 和遗留系统仍运行在其上。这类生态的特点是：代码存量大、版本碎片化严重、维护投入不均。一个在此类环境中被公开的漏洞，其修复周期往往以月甚至年计。
更值得注意的是攻防节奏的变化。传统上，漏洞挖掘依赖安全研究者的经验与人力，是一种稀缺资源；而 AI 工具把这种稀缺性大幅稀释——它可以不知疲倦地扫描大面积的代码，把“值得人工复核的疑点”批量筛出来。当发现环节被加速，而修补环节仍受制于发布流程、兼容性顾虑和维护者精力时，攻防之间的时间差就会被拉大。
这不是某个语言的问题，而是所有存量代码生态共同面对的新变量。
影响与看点
对开发者而言，最直接的启示是：依赖“没人发现所以还安全”的假设正在失效。那些长期无人审视的遗留代码、第三方库和自研工具，需要被重新纳入风险评估。补丁管理、依赖升级和最小权限配置的优先级应当上调。
对安全行业而言，AI 辅助的漏洞挖掘会持续产出更多披露，漏洞公告的密度可能上升，同时“披露即被利用”的窗口会进一步压缩。防守方需要把响应流程做得更快、更自动化。
对普通用户来说，这类新闻的现实意义在于：你所使用的服务背后的技术栈是否被及时维护，正变得越来越难从外部判断，而这恰恰是风险所在。
一个独立判断：AI 并没有创造新的脆弱性，它只是把早已存在的脆弱性从沉默中拽了出来。真正的分水岭不在于谁能用 AI 找到漏洞，而在于谁的修复速度能跟上发现的节奏。
