PHP 漏洞风暴里的中国答卷：360 自进化安全系统复盘

支撑全球约七成网站的 PHP 被曝出两个 CVSS 9.2 分的严重漏洞，细节在补丁发布前就已泄露。过去一周，鹿特丹港、比利时外交部先后预防性下线服务；据 Cloudflare 监测，攻击尝试在漏洞公开后两小时内从每天数千次涨到数百万次。就在风暴中心的10月9日凌晨，360 的安全攻防系统"图龙锋"留下了一段45分钟的处置记录，厂商称之为守卫者自进化的第一个完整样本。

一、发生了什么

按360披露的复盘：凌晨2点17分，图龙锋收集情报时把一篇漏洞复现博客纳入上下文，并先行把其中的外部地址标记为"不可信情报"；本地验证因数据库配置不匹配连续失败，第20轮尝试时系统错误地把该外部地址拼进测试目标；从拼入到请求被拦截只有59秒，无流量触达公网。随后系统自主生成规则、经对抗审查打回一次，凌晨3点45分新版"测试目标授权检查"规则生效，全程无人类提交，人类上午复现实验时才发现规则已在。厂商还给出战绩：系统开放不到4个月，发现漏洞超15000个，近500家企业申请接入。这段叙事来自厂商口径，暂无独立第三方复核，采信时要打折扣。

二、跟你有什么关系

运维和安全团队：PHP 两大漏洞已进入大规模利用阶段，还没打补丁的资产应立即排查，别等扫描器报红。

AI 工程团队：这个案例的看点是"自主改规则"的工程化流程——生成、对抗审查、回归验证三段式，比模型本身更值得抄。

普通用户：不必恐慌，拦截发生在沙箱内，但如果你用的服务这两天公告过"紧急维护"，多半与此有关。

三、怎么判断

1. 核实记录：厂商称有44个可回溯事件编号、26项自洽校验全部通过，判断真实性就看这些日志是否开放第三方审计。
2. 看清边界：系统没有动模型参数，改的是安全检查机制和技能库，这是"机制自进化"而非"模型自进化"，宣传稿常把两者混着说。
3. 对齐行业坐标：谷歌云10月21日技术报告称这两个漏洞在核心引擎里潜伏十余年、由 AI 首次发现，攻防两侧同时换装才刚刚开始。
4. 查自家资产：除 PHP 本体，基于它的常见框架和面板也在波及范围内，Web 服务器层近期同样曝出20多个高价值漏洞，排查面要放宽。

四、三个别信的说法

守卫者 AI 已经能全自动防御攻击。 45分钟闭环里每一步都有人工随时可终止的开关，且这次是"借用外部地址"式险情被拦下，距离无人值守的自主防御还很远。

发现15000个漏洞等于发现15000个高危。 厂商没有公布漏洞等级分布，低危信息收集类漏洞通常占大头，数字要看分布不看总量。

攻击者已全面 AI 化，防线必败。 安全公司 Straiker 报告过黑客团伙用多智能体框架攻击拉美银行，但同期守方工具的响应速度也在分钟级，攻防是军备竞赛不是单方面碾压。

五、一句话结论

安全攻防进入 AI 对 AI 的节奏，谁能更快把处置经验变成规则，谁就多活一轮。

信息来源

• 智东西：黑色十月与中国 AI 安全答卷，2026年10月23日

功能与价格以官方公告为准。本文写于 2026 年 10 月 24 日。