OpenAI 於 10 月 21 日披露，過去兩個月由該公司牽頭協調修補 PHP 的嚴重漏洞。研究人員以 GPT-5.6 Sol 在 Patch the Planet 計劃下找出一個 critical 漏洞，Google 旗下的 Wiz 亦獨立發現並報告另外兩個漏洞，最終由 PHP 維護者主導修補與發布，Cloudflare 等夥伴則在披露前預先準備防護。[1]
防禦者窗口與隨之而來的風險
OpenAI 表示，據其所知，前沿 AI 今次是在攻擊者之前發現這些漏洞，因而形成一個「防禦者窗口」，讓維護者與安全供應商可以在披露前準備修補方案與防護措施。[1] 該公司形容，考慮到漏洞的嚴重程度及 PHP 在網站與網絡應用上的廣泛使用，這是近年影響最大的安全問題之一。[1]
不過，OpenAI 同時指出，同一批能力亦可以被攻擊者用來快速開發攻擊工具與漏洞利用程式，並預計類似發現會在未來數月急劇增加。[1] 對使用 PHP 的機構而言，當務之急是盡快套用修補。[1]
由版本檢查工具到政府層面協調
為協助管理者判斷風險，OpenAI 把 PHP 版本檢查工具以 Codex skill 形式開源，讓營運人員識別可能受影響的 PHP 版本，再配合 PHP 官方與供應商的指引決定應否更新。[1][2] 該公司亦承諾提供 10 億美元的 Daybreak 補貼存取額度，對象是保護關鍵服務但安全資源有限的前線防禦組織。[1]
協調層面上，OpenAI 表示今次與美國政府多個部門接觸，包括白宮的 Super Intelligence Force、國家網絡總監辦公室（ONCD）及網絡安全與基礎設施安全局（CISA），亦與國際夥伴合作，令安全指引可以送達負責關鍵基建的機構。[1]
五階段應對框架供安全社群討論
OpenAI 藉此提出一套應對廣泛使用軟件嚴重漏洞的框架。流程首先由維護者、研究人員與必要技術夥伴確認發現、評估影響並開發及測試修補，期間以前沿模型作對抗測試，尋找繞過修補的方法及相關變體。[1]
第二階段是讓受影響機構有時間準備：發行商可為舊版本適配修補，託管商測試緩解措施，安全供應商預備偵測與攔截規則，包括網頁應用防火牆規則。第三階段是與政府部門協調，令指引覆蓋關鍵系統；第四階段在修補、指引與披露計劃穩定後，讓更多發行商、託管商、事故應變團隊與營運者準備更新；最後在修補可用時發布指引，協助機構評估暴露程度、尋找權威更新並確認修補已生效。[1]
框架亦建議，一旦出現實際利用、資料外洩、公開修補暴露細節，或用戶風險因修補停滯而上升，便應重新評估披露時間表。OpenAI 同時公開徵詢安全社群對披露窗口長短、緊急修補授權、分階段通知安排及預設安全軟件套件等問題的意見。[1]
參考資料
[2] openai/php2shell-checker：PHP 版本檢查 Codex skill（2026-10-21）