OpenAI 在10月21日扔出一份公告，把一次由 AI 牵头发现、跨越多国机构和企业协同处理的 PHP 漏洞修复全过程摊开给外界看。这场行动由 OpenAI 发起的"Patch the Planet"（修补整个互联网）计划推动，把软件维护者、安全研究人员、云服务商与政府网络安全机构拉到同一条战线上，目标只有一个——在漏洞被攻击者盯上之前，先把全球互联网的风险压下去。
这次 PHP 的两项严重漏洞，是被 AI 主动"嗅"出来的。安全公司 Calif 借助 GPT-5.6Sol，先揪出了一个严重安全缺陷;安全公司 Wiz 则独立发现并上报了相关的两项漏洞。PHP 是撑起无数网站和网络应用的开源语言，网页请求、数据库操作到后台业务逻辑都靠它，底层一旦破洞，网站、云服务和企业系统都可能被牵扯进来。两项漏洞都被评为严重级别，攻击者无需身份验证就能远程执行代码。PHP 开发团队已在10月21日推出修复版本，并催促用户立刻升级。
OpenAI 把这次事件里最珍贵的一段喘息期称作"Defender's Window"（防御者窗口）——也就是防守方抢在攻击者之前发现问题、制定修复方案并部署保护的时间差。这次漏洞恰恰是在攻击者动手之前，由 AI 辅助发现的，为维护者抢出了宝贵的防御准备时间。但 OpenAI 也提醒，随着模型能力一路爬升，发现漏洞与写出攻击工具之间的时间差正在被压缩，行业得从过去零散的漏洞处理方式，转向能快速协调维护者、服务商、企业和政府的系统化机制。
为此，OpenAI 端出了一套面向严重漏洞的协调响应框架，分五步走。第一步，维护者、研究人员和关键技术伙伴共同验证漏洞、评估影响、开发并测试修复，还得以先进模型做对抗性测试，确认补丁真能拦住攻击、并顺藤摸瓜找出其它可能被利用的变体;第二步，给受影响组织留出足够的准备窗口，按各自的防护职责分阶段喂技术信息，靠信息共享协议和专门协调机制压住泄露风险;第三步，和政府网络安全机构联手，确保关键基础设施运营者及时收到警报，这次 OpenAI 就联系了白宫超级情报工作组、国家网络总监办公室和网络安全与基础设施安全局（CISA），并和国际伙伴协同;第四步，在修复方案和披露计划稳定后扩大范围，让更多发行商、云服务商和托管商提前备好更新，对用旧版、装不了最新补丁的组织，还要评估回移补丁或临时防护的可行性;第五步，补丁发布后向公众给出清晰修复指南，并持续跟踪部署情况，帮还没更新的组织解决实际问题。
为帮更多组织动手，OpenAI 将提供 PHP 版本检查工具，并计划推出配套的 Codex 技能，帮系统运营者识别有风险的 PHP 版本、结合官方和厂商指引锁定更新方案;"Patch the Planet"项目则汇总漏洞公开信息和防护指南，帮管理员找到权威补丁、核对临时缓解措施、确认更新是否真正落地。资源上，OpenAI 承诺通过"Daybreak for Frontline Defenders"计划提供价值10亿美元的补贴式 Daybreak 服务访问额度，重点扶持有关键防护任务却安全资源有限的组织，并通过 Codex for OSS 给开源维护者订阅支持，直接赞助 Rust 基金会等项目。
更深一层的思路，是让 AI 从软件设计阶段就开始减少缺陷——帮工程师选更安全的默认设置、正确调用安全库、尽早揪出危险代码模式。一个明确方向是把关键组件迁往内存安全语言，从源头消除一大类因内存管理错误（如访问已释放内存、缓冲区越界）引发的漏洞;AI 能辅助迁移，但迁移后的行为、兼容与安全仍要人审。形式化验证用数学校验程序在特定假设下满足安全属性，沙箱则把处理不可信文件、图像或媒体的软件关进受控环境，即便被攻破也限制其进一步扩散。
OpenAI 也坦承，扩大 AI 在网安领域的使用，需要更完善的防滥用措施——它正在为 Daybreak 调整安全分类器，努力降低工具被恶意利用的风险，但过严的限制也可能绊住合法研究，平衡是关键。它还抛出一个更具争议的设想:互联网系统或许能逐步建立持续性漏洞扫描机制，发现已知漏洞后通知网站所有者，甚至在获授权时直接修补系统，但这涉及所有权、权限、误操作与责任边界，仍需严格的技术与治理保障。
这次 PHP 漏洞事件，是 OpenAI 用"Patch the Planet"对 AI 时代漏洞协调披露机制的一次实战演练。当先进模型已经能替人类加快漏洞研究，真正护住互联网的，终究取决于维护者、云服务商、企业和政府机构能否以更快的节奏把验证、修复与全球部署跑完——未来网安竞争的关键，也许不再是谁能先找到漏洞，而是谁能更快验证、更快修复、让全球受影响系统及时穿上铠甲。