Anthropic 副首席信息安全官 Jason Clinton：过去 4 天已经够糟，接下来还会更糟；他让各家安全负责人现在就找董事会要资源补基础，撑大约… · @willzero · TwKit

@willzero

Anthropic 副首席信息安全官 Jason Clinton：过去 4 天已经够糟，接下来还会更糟；他让各家安全负责人现在就找董事会要资源补基础，撑大约 18 个月 @JasonDClinton 今天凌晨发了一条帖子，到现在 255 万浏览、7,400 多个赞。 他的原话大意是：过去 4 天已经很糟了，接下来会糟得多，然后才会好转。安全负责人别浪费这次危机，现在就去找董事会要支持。他特意说，这次要的资源用在基础的安全工作上，用不着花在 AI 上。最后一句放在括号里：“我们得撑大约 18 个月。” 这 4 天里最大的一件事是 PHP2Shell。10 月 21 日 PHP 发了紧急补丁，修两个不用登录就能远程执行代码的漏洞（CVE-2026-109618 和 CVE-2026-109619），评分都是 9.2。发现漏洞的是 Calif、OpenAI 和 Wiz 的研究人员。CISA 和 NSA 当天都发了公告，CISA 的建议很直接：来不及升级的，先把 PHP 系统下线。 Sam Altman 也有一段视频在传。他说模型能找到超出我们对黑客正常设想的漏洞，“硬件层面的，很疯狂的东西”，还说“我已经不觉得我们能把所有漏洞都补上了”。 那 18 个月以后会怎样？有人直接这么问了。Clinton 回了一个词：vulnzero。按他的说法，规模定律会把 Mythos 这一级的网络安全能力压进便宜的小模型里，到时候所有软件开发都会用几分钱的成本把安全漏洞挡在发布之前。 后来他又补了两句。一是 vulnzero 大约在 2028 年年中，到那时安全问题还是会很多。二是他认为最强的模型在网络安全领域大约 2027 年年中会饱和，未来 9 个月还会发现很多硬件漏洞，目前已知的几例都能靠关掉某个硬件功能来缓解，比如降频或者关超线程。 @Benioff 引用时只写了一句：“Jason is 100% right. Code red.” 也有人不买账。有人说 Anthropic 的安全负责人喊“别浪费危机”听着很刺耳，有人问这种气氛是不是正好对 Anthropic 有利。 我觉得这条帖子里最实用的是“补基础”。我理解的基础就是几件老事：知道自己哪里跑着什么，补丁多久能打上，权限有没有收紧，关键系统能不能隔离。CISA 这次的第一条建议就是先盘点哪里在跑 PHP，因为它经常藏在别的软件里面，自己都不知道。 18 个月这个数，是他按模型能力的走势推出来的，现在没人能验证。我觉得把它当成一个预算周期来用比较合适。 如果你有自己的服务器，或者网站跑在 PHP 上（WordPress 这类），今天先查一下版本，升到 8.5.12、8.4.27、8.3.36 或 8.2.35，升完重启 PHP 进程。8.1 及更早的版本官方已经不更新了。个人用户可以先把手机和浏览器更新到最新，邮箱和银行开两步验证。 https://x.com/JasonDClinton/status/2113325263157395456 https://x.com/JasonDClinton/status/2113344839706456145 https://x.com/ns123abc/status/2113315758247747884 https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching https://www.bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws/ https://x.com/i/status/2113325263157395456

曝光 90 · 评论 2 · 点赞 1 · 书签 0