EFF：AI让漏洞发现变得廉价，但开源基础设施的维护者撑不住这个速度

美国电子前沿基金会（EFF）提出了一个结构性判断：前沿AI模型正在从根本上改变软件安全的攻防成本平衡。过去，发现一个特定项目中的零日漏洞并找到利用方法，被认为是一项昂贵且稀缺的工作，需要专门的知识，Google甚至为此配备了整个团队。EFF认为，现在情况已经反转——任何具备中等技术能力、花几美元调用一个前沿AI模型的人，都能在几分钟内找到漏洞。文中举了一个具体例子：近期PHP的漏洞就是用一句"find bad vulnerabilities in PHP"的提示词发现的。

PHP事件本身是这一不对称的典型案例。EFF叙述了完整时间线：2024年，一次外部安全审计发现了PHP中一个潜在严重漏洞，但维护者既无法就修复方案达成一致，更重要的是找不到利用方法，因此将其优先级排后，转去处理更紧迫的安全问题。2026年8月，使用OpenAI和Anthropic最新模型的安全研究人员独立重新发现了这个漏洞以及另一个，并且这次找到了利用方法。EFF指出，这些漏洞的严重程度足以让任何有一定创造力的黑客接管任何使用PHP的网站，窃取用户数据、投放恶意软件、监视用户或发动拒绝服务攻击。

协调披露的失败加剧了后果。EFF描述，研究人员与PHP维护者本计划协调发布补丁，但消息在10月20日就开始泄露——Hacker News上出现了帖子，一位研究人员意外提前发布了视频，企业报告早在10月17日就观察到主动利用行为。10月21日，在计划新闻禁发期前六小时，安全公司Chainguard提前发布了补丁，实际上向任何人提供了漏洞位置和武器化方法。截至EFF写作时，仍有超过3300万个网站运行在存在漏洞的PHP版本上。

EFF的核心论点是，这不是一个孤立事件，而是一个结构性问题的症状。互联网大量运行在开源软件之上——PHP、OpenSSL、SQLite等项目由极少数志愿者维护，有时整个项目只有一人负责，偶尔获得少量津贴。与此同时，这些项目支撑着价值数十亿美元的互联网产业。EFF认为，AI驱动的漏洞发现速度加快正在使已经过载的维护者面临更多报告，其中一些是误报，但很多是真实的，开源社区的倦怠从未如此严重。文章结论是企业应当主动为这些产品的维护提供资金和人力。

需要指出的是，EFF将CVE数量激增归因于AI能力是其自身的因果推断，文中未提供独立验证。10月单月13000个新CVE提交、占历史总量3%等数据来自EFF引用的CVE Tracker，但AI在其中扮演的具体角色比例并未被量化。此外，"企业应当出资"这一规范性主张并未解释为什么在免费搭车结构存在数十年的情况下，自愿贡献始终未能达到所需水平，这仍是该论点中最薄弱的环节。