有多少“无法利用”的漏洞即将变得可以利用？

Wiz 刚刚披露了 PHP2Shell，即 PHP 引擎中的两个严重漏洞，可导致未经身份验证的远程代码执行和内存信息泄露。这些漏洞已在 PHP 代码库中潜伏了十多年。发现它们已经很困难，而将它们转化为可靠的漏洞利用程序，尤其是能在不同环境中稳定运行的程序，则要困难得多。在 Gemini 和 GPT 模型的帮助下，Wiz 研究人员在大约一周内就发现了这些漏洞，并开发出了可用的漏洞利用程序。这样的工作，以前可能需要一支世界顶尖研究人员组成的团队花上数月才能完成。而这已经产生了现实影响。与我合作的四家大型组织已将其所有 PHP 网站下线，以便紧急修补漏洞。我感兴趣的并不是 PHP 本身，而是这件事对于那些支撑着我们周围几乎一切事物的数百万行旧代码意味着什么。几十年来，我们至少在一定程度上一直依赖这样一个假设：有些漏洞太难发现和利用，或者成本太高。AI 正在开始挑战这一假设。当然，这也有积极的一面。AI 帮助研究人员发现了这些漏洞，并在公开披露前完成了修补。但当同样的能力变得触手可及时，会发生什么？防守方能否赶在攻击者利用这些旧漏洞之前，更快地发现并修复它们？还是说，我们即将发现，过去 30 年里我们究竟积累了多少存在漏洞的代码？