AI 找到开源软件漏洞，谁来修？

最近这次 PHP 安全事件，有个挺值得开发者琢磨的细节：AI 帮研究人员更快找到了严重漏洞，但从报告到补丁公开，仍走了约两个月。

问题并不是“让 AI 再写一段修复代码”就能解决。PHP 这样的基础软件牵着大量网站和下游产品。维护者得先确认漏洞真的存在，弄清影响范围，再从几个各有代价的方案中选一个：不能修了漏洞却破坏兼容性，也不能让旧版本和第三方扩展无从跟进。补丁做好后，发行版、云服务商和网站运营者还得接力，把更新送到正在运行的系统里。

这次，PHP 维护者主导修复与发布；Calif、Wiz、OpenAI、Cloudflare 等参与研究、测试或协调。OpenAI 借此提出一套五阶段响应建议，把“谁需要提前知情、谁准备下游更新、何时公开”也纳入修复工作。

真正让人警醒的是速度差：AI 发现问题越来越快，维护者验证报告、决定修法、推动部署的时间却不会自动缩短。报告越多，误报和重复问题也越可能挤占注意力。未来评价 AI 安全工具，不能只数它找出了多少漏洞，还得看它是否帮项目减少核查负担、验证补丁，并让修复最终抵达用户。

所以，这件事的主角并不只有模型。AI 可以更早按响警报；让警报变成真正的安全更新，仍是一场需要维护者和下游团队接力完成的工程。

所附的 5 张图补充了这次事件的时间线、角色分工、修复流程和维护者压力，可以按顺序点开看看。