AI讓資安變成了「魔法戰爭」　PHP安全漏洞是AI發現，也可能被AI利用發動大規模攻擊

資訊安全專家在週三（21日）公布了廣為全球網路使用的PHP程式語言，有2個致命的安全漏洞，緊急推出修補程式。這些安全漏洞已經存在10年之久，但先前因無人知道如何使用而沒有處理，如今使用AI工具解析發現是致命漏洞。AI首次抓出如此重大的網路安全漏洞。

但與此同時，駭客也能利用強大的AI，在安全漏洞與修補程式公開的瞬間，就急速找到使用這些漏洞的方法，並在各機關、企業與網站營運商完成修補漏洞前猛烈發動攻擊。

雲端服務巨頭Cloudflare證實了AI時代資安已升級成為高速「魔法戰爭」的狀況。漏洞的發現要借助超越人類智慧的AI，就像魔法一樣；而利用這些漏洞發動攻擊，也可借助AI，攻防之間猶如超自然力量的交鋒。

Cloudflare執行長週三發文指出，在漏洞向大眾公布之前的10小時內，他們已偵測到數千件企圖使用PHP漏洞發動的網路攻擊；公布後45分鐘內，攻擊暴增至數萬次；2小時內增至數十萬次，之後更是猛增至數百萬次規模。

最初發現該問題的Calif資安公司執行長楊采（Thai Duong，音譯）向《華爾街日報》表示：「推特（X）上的隨便一個傢伙就可以直接拿到修補程式，用AI對其進行分析，然後發布攻擊腳本。這樣一來，地獄之門就打開了。」

資安研究人員是利用AI發現了這項漏洞。今年8月，Calif研究員奧斯丁（Ryan Austin）在對PHP原始碼進行檢查時，在OpenAI最先進的模型之一 GPT-5.6 Sol的協助下，發現了這些漏洞。

楊采說，十幾年前就有人把這些漏洞標記出來，但當時認為這些漏洞太難使用，不會變成駭客的工具，因此就被遺忘。但是，奧斯丁透過AI的協助發現利用這些漏洞的辦法，只需要向運行PHP的伺服器發送數十個命令，就能控制在電腦記憶體中運作的程式碼。在較小的系統上，這種入侵只需數秒鐘；在更複雜的系統上，則可能需要數小時。

這一漏洞被命名為PHP2Shell。而楊采在8月中旬向PHP負責人通報這些漏洞後，Google研究人員另外也借助AI幫助，找到了同樣的安全漏洞。

雲端資安公司Wiz共同創辦人盧特瓦克（Ami Luttwak）表示，PHP2Shell是「有史以來被發現最嚴重的AI相關漏洞」，如果沒有AI的協助，它可能太過複雜而無法被人類發現。

修補這個漏洞的工程相當浩大，需要修復接近200個檔案，開發人員在此過程中編寫了超過1萬行程式碼。

向公眾宣布漏洞與釋出修補程式原定在週四（22日）進行，但是不出意外意外發生了。Hacker News網站提前在週三（21日）就宣布了該漏洞的消息，PHP團隊決定緊急提前釋出修補檔。而全球性的修補工作到週四都還在進行中，目前並不知道有多少駭客已經成功利用該漏洞，發動嚴重的攻擊。