黑色十月网络恐慌：不是 AI 造了毒，是机器撕开了人类代码的遮羞布

过去这几天，硅谷和网络安全圈在传一个吓人的建议：去银行取点现金，家里多囤几罐罐头。 有人把这一周的混乱叫做“黑色十月”。 很多人的第一反应都是：完了，AI 终于被黑客拿去写超级病毒了。 但真正把各大科技公司逼到通宵打补丁的，根本不是什么 AI 病毒。 是人类程序员十几年前留下的烂代码。

这次风波的导火索之一，是网页编程语言 PHP 爆出来的几个核心高危漏洞。 全球有接近八成的网站，底层都在跑 PHP。 结果安全人员用 AI 工具一扫，在它的核心解释器里，翻出了一堆躺了好多年的严重内存错误。 这些漏洞被命名为 PHP2Shell。 美国网络安全与基础设施安全局（CISA）和国家安全局（NSA）紧急发布警报，一些政府网站甚至直接关停维护。

有人可能会问：这么核心的语言，怎么会有这么严重的漏洞躺了这么多年？ 因为大家都在免费用，却没人愿意掏钱修。 PHP 基金会自己也承认，维护团队的人手和资金都很紧张，面对复杂的历史代码，大家甚至在修补方案上争执不下，一拖就是几年。 这就跟漫画家兰德尔·门罗（Randall Munroe）在 XKCD 2347 号漫画里画的一样： 现代数字基础设施的最底端，往往全靠内布拉斯加州一个无名志愿者在业余时间维护的小项目撑着。 云服务平台 Vercel 的产品负责人汤姆·奥基诺（Tom Occhino）在接受采访时，也专门提到了这张漫画。 整个互联网都在享受开源软件的红利，但在维护这些底层基础时，几乎没有一家商业大公司愿意买单。

既然漏洞一直都在，为什么早不爆发，偏偏在这几天集中引爆？ 这就牵扯到过去十几年科技公司的一套生存算计。 在软件行业里，修补老代码是一件吃力不讨好的事。 它既不增加新功能，也不带来新收入，还要占用宝贵的工程师时间。 在以前，要想在几百万行老代码里挖出一个冷门的安全漏洞，黑客必须具备顶尖的逆向工程能力，花几个星期甚至几个月去排查。 所以很多公司的管理层就做了一个心理赌博：只要找漏洞的门槛足够高，这笔风险就可以搁置不管。 知名风投机构 a16z 的合伙人乔尔·德拉加萨（Joel de la Garza）和赞恩·拉基（Zane Lackey）写过一篇叫《打补丁还是去死》的文章。 他们说，过去十年里，企业里所谓的“风险接受流程”彻底变质了，它本来是权衡风险以支持业务，后来退化成了永远不修安全漏洞的借口。 程序员到了周五下午，手头的代码写到了九成。 是花整个周末把所有极端情况测完，还是宣布“先这样吧”，关上电脑去参加晚宴？ 大家往往都选择了去晚宴。

现在，平衡被打破了。 因为 AI 进场了。 AI 智能体不需要去参加周五晚宴。 它们不用睡觉，不知疲倦，也不会嫌看代码枯燥。 它们可以用人类无法企及的速度，日夜不停地扫描每一行陈年代码。 过去需要资深专家苦练几年的漏洞挖掘技能，现在一个借助大模型的普通人也能做到。 结果就是，原本隐藏在黑暗里的破烂代码，像被高强度的聚光灯突然照亮。 公布出来的漏洞数量在短短几天内成倍暴涨。

这两年大家都在抱怨 AI 制造垃圾内容，担心 AI 生成的垃圾代码会毁掉互联网。 工程师本·考夫曼（Ben Kaufman）在社交媒体上说：好笑的是，每个人都以为 AI 垃圾代码会引发网络危机，结果全是几十年前人类留下的垃圾代码在暴雷，AI 只不过是在清场。 科技创业者阿南特·贾恩（Anant Jain）也说：人类几十年来一直在自己写代码、自己做代码审查，如果我们对自己诚实一点，拿要求 AI 的标准来要求人类自己，我们不得不承认，人类做得也没那么好。

互联网从来不是一座坚不可摧的水晶宫。 它更像是一栋在风雨里立了几十年、里面布满了私拉乱接电线的旧大楼。 过去大楼能安稳运转，仅仅是因为黑暗遮住了那些老化的地方。 当 AI 拿着手电筒照进每一个角落的时候，最先承受不住的，恰恰是人类几十年来偷过的懒。