GPT-5.6 Sol挖出PHP 9.2分高危漏洞：AI安全研究员上岗
一次载入安全史册的发现
OpenAI 的 GPT-5.6 Sol 在“Patch the Planet”计划中发现了 PHP 的两个未认证远程代码执行漏洞，合称 PHP2Shell——CVSS v4.0 评分 9.2。Wiz 团队独立发现了同一问题。漏洞涉及内存管理与错误处理，影响 PHP 5.4 至 8.5 的十余年版本——全球大量网站仍在这些版本上运行。
事件的完整时间线
- Sol 发现漏洞，OpenAI 按披露流程上报
- PHP 官方 10 月 21 日发布 8.5.12 等四个安全更新
- 披露前一天消息泄露，CISA、NSA 发布紧急警告
- 维基媒体及《赛马娘》等多款日本游戏暂时停服应急
- 立即盘点资产中 PHP 版本，5.4-8.5 全部列入升级计划
- 订阅 CISA 紧急通报渠道
- 用 AI 工具对自有代码做一轮主动漏洞挖掘——你的对手已经在用了
三个层面解读
1. AI 挖洞能力已达生产级
发现跨十余年版本的深层内存管理漏洞，需要理解代码语义、推测攻击路径、构造利用链——这是顶级安全研究员的工作。AI 独立完成并经 Wiz 交叉验证，标志着 AI 安全研究员从辅助走向主战。
2. 防御方的响应速度成为关键变量
发现到披露之间，全球补丁窗口只有几天。CISA/NSA 的紧急警告说明监管机构已把 AI 发现的漏洞纳入快速响应通道。企业的补丁管理速度，必须跟上 AI 的发现速度。
3. 双刃剑的阴影
同周新闻里，有黑客用 AI 智能体攻破 100+ 网站。AI 挖洞能力是中立的：白帽用它提前修复，黑帽用它批量入侵。攻防两侧的 AI 化同时发生，防御方的时间窗口被压缩。
企业应急动作
结语
AI 发现了影响全球 70% 网站的漏洞——这句话在一年前像科幻，今天是新闻标题。安全行业的攻防规则、响应节奏、人才结构，都将被重写。