OpenAI 拿 10 亿美元补贴修漏洞的人

如果你的后台跑着 PHP，这几天多半在查版本号。这一轮漏洞的另一面，是有人开始替「防守方」付算力钱。

一、发生了什么

据 IT 时代网 10 月 22 日报道，OpenAI 披露：过去两个月，它联合一批开源项目维护者、安全研究人员和安全厂商，处理了 PHP 中的严重漏洞，并宣布投入 10 亿美元补贴，用于支持一线防御方。

分工是这样的。两个严重缺陷中，有一个由 OpenAI 的模型在其相关计划中发现，安全公司 Wiz 也独立发现并报告了这两个漏洞。修复和版本发布由 PHP 维护者主导，OpenAI 与 Wiz、Cloudflare 等伙伴在公开披露之前参与了研究、技术支持和协调。

OpenAI 同时放出一个 PHP 版本检查工具，帮运维判断哪些环境可能存在风险，再结合 PHP 官方和服务商的指引决定升级范围。它的说法是，考虑到缺陷的严重程度和 PHP 的使用广度，这属于近年影响面最大的安全问题之一。

关于那 10 亿美元，措辞需要看清：是「补贴访问额度」，重点给安全资源有限、又负责关键服务的组织，不是发现金。OpenAI 还提出一套面向 AI 时代的严重漏洞响应框架，邀请安全社区一起完善。

它自己的说法是，前沿模型先于攻击者发现了这些缺陷，为维护者和厂商争取到准备修复的时间窗口。这句话得两面读：同一套能力，攻击者也能拿来加速写利用代码。

二、跟你有什么关系

用 PHP 跑业务的公司。 眼下最重要的事不是研究补贴，是把版本查清、把补丁打完。工具是免费的，补丁也是现成的。

开源维护者。 这类事件之后，维护者会被要求承担更多披露协调工作，但没有配套的人力。额度能不能换成实际支持，要看申请门槛。

安全厂商和云服务商。 漏洞由模型发现、由厂商复核、由云厂做临时防护，这条链条正在变成标准流程。

三、怎么用

1. 今天先查版本。用官方检查工具扫一遍资产清单，把暴露在公网的 PHP 服务排在前面。顺手把台账补上，版本、负责团队、对外暴露情况记在一张表里。
2. 再定升级窗口。不能立刻升级的，先在 WAF 或云防护上加规则，把时间买回来。
3. 把这次的时间线记下来。从漏洞公开到你完成修复用了多少小时，这个数字就是下一次的基准。
4. 想申请额度的，先整理自己的服务规模和安全投入，说明「为什么属于资源有限但影响关键」的那一类。

四、三个别信的说法

「10 亿美元会发给开源维护者」。 原文写的是补贴访问额度，指向算力或服务，不是现金资助。把它理解成「开源有钱了」，会误判申请方式。

「AI 找出来的漏洞比以前更危险」。 危险程度来自 PHP 的装机量，不来自发现方式。模型改变的是发现速度，不是破坏力上限。

「补完这一轮就安全了」。 模型让漏洞发现变快，同类问题会以更高频率出现。缺的是能重复执行的响应流程，不是一次性的补丁。

五、一句话结论

这 10 亿美元买的不是修复，是让防守方的反应速度追上模型的发现速度。

信息来源

• OpenAI 设 10 亿美元防御额度，2026 年 10 月 22 日

功能与价格以官方公告为准。本文写于 2026 年 10 月 23 日。