当半个互联网在一周内被打成筛子：AI 编程的另一面，是祖传屎山的末日 这周的全球互联网安全圈，荒诞得像一部赛博黑色喜剧： 先是 PHP 爆出免登录直接接管服… · @staylightblow8 · TwKit

@staylightblow8

当半个互联网在一周内被打成筛子：AI 编程的另一面，是祖传屎山的末日 这周的全球互联网安全圈，荒诞得像一部赛博黑色喜剧： 先是 PHP 爆出免登录直接接管服务器的史诗级漏洞（PHP2Shell），严重到连日本首相高市早苗都亲自发推提醒大家打补丁——不是段子，因为她自己的 PHP 网站真让人给一锅端了。 紧接着，印度主流 CA 机构 eMudhra 的 8 个中级根证书沦陷。安全人员拆开一看全都沉默了：不是密码学大厦崩塌了，而是这哥们的证书私钥，字面意义上就是个位数：4。 如果把这几天的安全通报拼在一起，你会发现整个现代软件工程的底座正在经历一场无差别洗礼： • 底层虚拟化：代号 CVE-2026-99999 的漏洞直接击穿各大主流虚拟机； • 运行环境与托管：Node.js 紧急修复十几个漏洞；GitLab 喜提六周内第三个 CVSS 10.0 满分漏洞，过去 12 年的所有自建实例无一幸免； • AI 工具链自身难保：高频框架 LiteLLM 发布包被直接投毒；OpenCode Console 被脱库，海量 OpenAI、Anthropic API Keys 裸奔； • 云厂商连环爆雷：Zeabur 因持续遭受攻击无奈宣布关停，TiDB Cloud 被捅穿拖走 10.6TB 数据，日本 IDCF Cloud 中勒索病毒导致近 500 家企业停摆…… 为什么突然之间，半个互联网都被打成了筛子？ 前两天我们刚聊过，AI 商业化目前唯一跑通百亿美金闭环的“温室”就是软件工程。但很多人忘了硬币的另一面： 当 Coding Agent 的能力指数级飙升时，它不仅能帮你写代码，还能以十倍速往人类过去二十年积攒的“祖传屎山”里扔核弹。过去需要顶级安全研究员熬几个月才能抠出来的逻辑漏洞，现在正被 AI 算力流水线式地批量批发。 更致命的，是“停更软件与老旧系统的宿命”。 很多团队和用户有一种致命的幻觉：“只要现有的二进制文件不崩，我停在几年前的稳定版接着用，甚至放在防火墙后面，不就没事了？” 以前或许能混过去，但在 AI 时代，连网即裸奔。 作为常年跟底层代码和开源项目打交道的人，我对这件事的机制再清楚不过： 开源项目的每一次安全修复，Commit 记录和代码变动都是全网公开的。今天攻击者根本不需要从头挖 0day——只要维护者刚提交了一个修复补丁，攻击者的 AI 几分钟内就能跑完一遍补丁比对（Patch Diffing），反向推理出漏洞位置，自动生成全套利用代码（Exploit），然后开启全网自动化扫街，对着还没升级的旧实例挨个点名。 在 AI 自动化扫街的时代，停止维护的软件不是“静止”的，而是会以肉眼可见的速度腐烂成公开的后门。 云服务器尚且还能连上去敲行命令升个级，想想那些跑在 CentOS 7 上的祖传业务、停留在断更版本的开源中间件，乃至无数暴露在公网边缘、塞满十年前老旧内核与组件的网关和固件——一旦被撕开一个端口，连打补丁的机制都没有。 过去十几年，技术圈都在崇拜“造新轮子”，喜欢聊颠覆性的新特性、套最薄的 UI 壳；而把修 Bug、维护底层发行版、跟进安全补丁这种脏活累活，当成理所当然的“免费空气”。 直到这一周暴雨倾盆，许多人才猛然惊醒： 当 AI 驱动的攻击把互联网打成筛子时，决定你的系统能不能活过今晚的，从来不是什么花哨的新功能，而是那个枯燥的更新命令背后，到底还有没有活人在替你守着底座、持续发补丁。 留给那些“只要不崩就万年不升”的祖传系统的时间，真的不多了。 大伙公司的生产环境里，现在最老的一个“祖传不敢动”组件是什么年份的？

曝光 384 · 评论 0 · 点赞 1 · 书签 0