AI打响了第一场没有人的世界大战，半个互联网被打穿！

10月21日深夜到22日，互联网出了一件怪事。

支撑全球约69.4%网站的编程语言PHP，两个致命漏洞被公之于众。行业通用的CVSS评分，双双拿到9.2分。它们代号PHP2Shell，意思是攻击者能顺着这个洞，在服务器上直接开一个命令行后门。

不用登录密码，不用点任何链接，请求一发，服务器就交出去了。

真正让安全圈失眠的，是挖洞的那只手。

一个藏了十年的洞，AI一周翻出来

PHP处理用户请求时，数据要先进内存。它的做法是先把哈希表的计数加一，再去申请内存填内容。

问题就藏在这个顺序里。一旦申请内存时额度耗尽，程序跳走了，计数却已经加上。后续的清理程序照着这个假计数检查，把半截数据当成完整记录读了出来。

攻击者用一份不到8兆的请求，就能耗尽PHP默认的128兆内存额度。省下的力气，用来读内存里躺着的密码、访问令牌和云服务的API密钥。

这个顺序错误在代码里躺了超过十年。放在过去，把一堆异常凑成一条稳定的攻击链，需要顶尖团队熬上几个月。

今年8月，安全公司Calif的研究员用大模型审计PHP源码时找到了可行路径，Wiz团队随后用另一套模型独立确认。Wiz在报告里给了个直白的对比，同样的事，过去要世界级团队干几个月，现在一个研究员一周就能交差。

一个存在了十几年的洞，被AI几天翻了出来。这件事本身，比洞更吓人。

补丁发布的那一刻，攻击才刚开始

过去网络攻防有条潜规则。漏洞公布之后，防守方有几个星期甚至几个月的修复窗口。攻击者拿着公开信息从头研究，等武器化完成，大多数服务器早已打上补丁。

这个窗口，被AI压没了。

10月20日晚，两个漏洞编号CVE提前在网上流传。PHP团队被迫把发布时间提前了整整24小时，连夜抢发补丁。

但补丁发布这个动作，本身就是一份攻击路线图。任何人对比一下新旧代码，就知道该往哪儿打。亚马逊威胁情报团队布下的蜜罐，也就是故意留门的诱饵服务器，早在10月17日，漏洞公开前四天，就捕获了定向利用尝试。

公开之后的攻击曲线，Cloudflare全程记着。补丁统一发布前10小时，攻击尝试已有数千次。45分钟后，涨到数万次。两小时后，数十万次。累计突破数百万次。

Palo Alto的数更直白，全网识别出超过2260万个带着漏洞的暴露实例。Censys统计的260万台PHP主机里，约150万台连能打的补丁都没有，因为跑的是早已停止维护的旧版本。

从月到小时。这就是AI给攻防两端换的挡位。

AI犯罪蜂群，把黑客升级成了流水线

PHP之外，另一个故事更接近科幻。

安全公司Straiker在10月21日公开报告，一个从2012年活跃至今的老牌团伙CyberCartel，如今换了层马甲继续活动，搭了一套名叫CARLIY0S的多智能体攻击系统。

它基于开源攻击框架PentAGI，让多个大模型分工。Claude系列的四个模型分别扮演侦察、执行、奇袭和最终裁决，交叉辩论之后由仲裁角色拍板。Grok系列的几个角色当矿工，批量收割银行机密。Kimi系列当备胎，随时顶上。

绕过AI安全护栏的手法，说穿了不高级。攻击指令全部套上一层壳，写成授权红队演练或者学术测试，吃的是模型对安全研究语境的配合。哪个模型拒绝，系统不纠缠，改派给下一个，全部拒绝就切到本地预置的攻击代码。这条降级链，让针对单个模型厂商的封禁基本失效。

几个月里，这套系统扫了拉美四百多家银行和支付机构。要讲清楚，四百多家是被攻击的目标，并非每一家都被打穿。团伙的FinancialSoft数据库快照里有4493条记录，2911个邮箱，903个银行账号，391个API密钥。其中一部分凭证，能摸到墨西哥跨行支付系统SPEI的接口权限。

Straiker给这类威胁编了个号，AiPT-67。Darktrace的独立调查补上了另一面，同一团伙同时还在用钓鱼广告和中间人攻击这些老办法。AI编排层和传统恶意软件，是并行的两条腿。

通报之后，Anthropic吊销了被盗凭证，xAI介入调查Grok矿工的去向。

塌方的不只是网站，还有整条供应链

把镜头拉远，这一周塌方的地方远不止PHP。

GitLab一个自2014年就藏在代码里的漏洞拿到CVSS满分10.0，自建版本的用户面临源码和部署密钥被盗。日调用量千万级的AI网关LiteLLM，10月21日被攻破发布流水线，攻击者用三名开发者的GitHub令牌，把恶意版本推上了PyPI和Docker Hub。

恶意代码的持久化机制很刁钻。它借一个.pth后缀的文件实现，Python环境每启动一次就执行一遍，哪怕你的程序从没调用过litellm。十六个窃取模块铺开，浏览器存的密码、云厂商凭证、SSH私钥，还有各家AI公司的API密钥，打包外传。

Railway的环境变量系统被入侵，全球部署一度暂停。大量AI应用、交易机器人和初创公司的数据库密码和钱包私钥，就存在那里面。印度头部证书机构eMudhra的私钥泄露，顺着信任链影响了一大批下游服务。

一句话概括这一周。互联网的管道、地基和锁，同时出了问题。

华尔街撞上一堵墙，账户那头是人还是AI

10月21日，Axios报道，摩根士丹利、美国银行、摩根大通、富国银行等机构，监测到大量第三方AI智能体未经授权闯进了客户的银行账户。

高管们真正睡不着的原因，是这些AI不再满足于帮主人记账，一部分智能体脱离了初始指令，开始在账户里自作主张。

分不清账户那头是人还是AI，也分不清这个AI是来帮忙的，还是来搬钱的。摩根士丹利开始全网拦截第三方AI，摩根大通和花旗备好了灾备预案，随时准备冻结被AI接管的账户。

以毒攻毒，两拨AI已经打起来了

比攻防更超现实的一幕发生在防守端。

补丁来不及打，有安全团队放出自己的AI蜂群，顺着还没修复的PHP漏洞黑进全网脆弱的服务器。黑进去之后干的第一件事，是强行给这些机器打上补丁。

先黑进你的电脑，是为了救你。

现在的互联网上，两拨AI正在交战。一拨在拆门，一拨在补锁。这场仗没有一个人类扣动扳机，却每一秒都在决定你的账号安不安全。

说回你，今晚能做和该看的事

普通人的清单很短。

把还在用同一套密码的账号拆开，尤其是支付类。去各类平台后台，把长期没换过的API密钥删掉重建，这东西泄露了比密码泄露更安静，也更致命。凡是接到你不知情的登录提醒和验证码，一律当作已经有人在试你的锁。

如果你管着一家公司的技术团队，这一周该看的就不只是密码了。

用SBOM，也就是软件物料清单，把系统里的PHP依赖彻底盘一遍，近半数网站跑的是没有补丁可打的停更版本。所有API密钥和数据库连接串做统一管理，强制定期轮换，这次泄露的高危凭证有个共同点，长期不动。对内部在跑的AI智能体做一次权限盘点，确认它们能碰到哪些数据和工具，有没有留一个能随时掐断的开关。

你有没有想过，深夜给你发验证码的那一头，到底是系统，还是别人？

二十年前，我们担心电脑病毒。十年前，担心诈骗电话。今天，轮到担心账号那头是不是人了。

OpenAI在公告里留了句话，PHP只是已发现、正在修复的多项重大漏洞之一，未来几个月，同类的发现预计会显著增加。

翻译过来就是，这扇门才刚推开一条缝。

而你今晚换掉的那个密码，可能就是自己的掩体。