补丁公开之前洞已经在被打｜Big Technology × Alex Stamos

Alex Stamos 说，网络安全这一行过去大约 30 天，是他见过最疯的一段。节目标题把这一窗叫 Black October。PHP 占了头条。做这行的人看到的，是同一两周里叠上来的好几件事。这期大约 27 分钟。片头片尾和电影闲聊略过。

PHP 是用来把网站写得容易的语言。他说很难想到大公司用它做银行网站或大型应用。Facebook 是反例，而且用的不是真正的 PHP，是一门带类型的版本，叫 Hack。广泛的是营销站、小应用，以及 WordPress 这类托管大量站点的框架和主机。漏洞是预认证的远程代码执行：不用登录，打的是站点正面。补丁只覆盖最新一族 PHP。很多站停在更老的版本上，升到字幕里的 PHP 8 会把站打坏，因为没有官方回移。

原始来源：The PHP Bug's Stunning Consequences + Cybersecurity's Black October — With Alex Stamos。中文深度整理，非逐字翻译。本文依据 YouTube 自动生成的英文字幕，专有名词和数字可能有识别误差。攻击次数、站点数和机构名都是访谈口述，未另核公告。

找洞的速度先被实验室抬起来

他说 OpenAI 和 Anthropic 对最好的网络攻防能力限制程度不同，都不愿意让人随便用模型做漏洞研究。两边的回应是同一种项目：批准过的人可以用模型去找洞。PHP 这一只，出在 OpenAI 一个叫 Hack the Planet 的项目里。主持人后来说成 hack the world，他改回 Planet，并说这是 1990 年代那部黑客电影的典故。营销意味他认。字幕有一处把 Anthropic 听成 Enthropic，下文按 Anthropic。

用上这套、把洞找出来的，是一家安全咨询公司，字幕听成 Califf。他说这家做很多由 AI 辅助的漏洞研究。本文不改成另一家公司的正式名。发现是在好几个月前。之后一批公司做协调披露，想赶在公开之前把问题压住。

协调披露的圈一开始很小，然后一圈圈变大。变大的时候开始漏。公开之前，已经有证据表明攻击者在利用。有一次有争议的抛出，来自一家会自己做补丁、再推给客户的公司，执行长字幕听成 Changguard。回头看，Stamos 说此人也许是对的。这件事仍有争议。本文不把这家公司升成某个已核实的厂商名，也不补抛出了什么。

他要顶回去的一种说法，是把责任算到 OpenAI 和 Anthropic 头上。这些洞里有一批已经存在了十年，有的是几十年。两家实验室要么自己在修，要么在促成别人修。这么广泛的开源、这么难升级，能处理成这样已经是眼下做得到的上限，结果仍然会很糟。若他们不做，洞一样会被人找到。

预认证，而且老版本升不上去

预认证远程代码执行的意思是：不必是这个网站应用的用户。过去很多网站漏洞要先登录，或要碰到某一种功能。这一只要能连上就能打。正面写着登录、后面什么都进不去，也仍然中。利用本身并不极其好写，问题相当复杂。人们还是写出来了，他估计有 AI 的份。本文不写利用步骤。

拿到的权限和网站服务器同一层。这一层按定义碰得到数据。控制的是那台计算机上、和网站服务同一级的东西。

修它不能只跑系统自带的更新。补丁在网站代码底下的 PHP 里，而且只发了最新一族。更老的站要改到能兼容最新的 PHP 8，因为没有回移。非官方的回移和补丁存在，不那么容易拿到。很多单位会打上补丁，却没发现在他们花掉的那 48 小时里，已经有人放进了立足点。二次失陷会在之后的几个月摊开：攻击者用这个立足点往公司更深的地方走。

抢的是立足点，不是一条新闻

宣布前后，不同的攻击者会先尽量打进更多系统，以后再决定在乎哪一批。他看到的是自动化利用：对数以百万计的网站，持续做数以亿计的尝试。一类是俄罗斯的勒索软件行动者，先占住、装上恶意软件，再挑要勒索的对象。一类他称为中国的作坊式访问产业，字幕原文是 cottage access industry。他说中国境内实际上有一个像 eBay 的入侵渠道，随即收窄：以他的理解并不是一个完整的 eBay 网站，而是一套生态。聪明的地方是去重。别的国家，比如俄罗斯，大家想打同一个目标时会挤在一起。这边可以把私人访问产业的任务错开。

历史对照是微软 SharePoint 的一次著名漏洞。中国的访问供应商打进大约 8 万个暴露在网上的 SharePoint 站点，以后再卖给中国公司。这是口述的「大约」，本文不另核事件通报。进去之后会放恶意软件，有时还会把洞补上，不让后来的人再进。过去看得到他们抢控制权：先到的人必须把门带上，否则下一个人会卸掉前一个人的软件，再自己补上。

眼下是几十或上百个团体，在打数以千万计的网站，抢的就是控制。长期他们会有一张自己控制着什么的单子，再翻：政府网站、医院，哪些值得偷数据或勒索。控制同时是两件事。正在发生的输入能看见，数据库里已有的多半也能看见。人已经在防火墙后面、在生产网络里。这只是初始访问。有的攻击者会把整个库拖走，以后再看。他说 95% 没用，5% 是金子。有的会从这里扫其余系统，找下一个洞。

AI 被用在攻击链上的比例，他没有好的统计。传统上要等的那一段，在智能体能把后面的步骤自动做完时会缩短。他听到的是，这还没那么普遍，但别的场合已经在发生。例子是一个中国团体打进一批韩国机构，攻击链完全自动化。机构名字幕听成 bakes。本文不改成银行或另一类组织。

Cloudflare 的 Matthew Prince 给过一组数。Stamos 转述的是公开宣布前 10 小时：全网看到数千次利用尝试。宣布后 45 分钟升到数万，两小时内到数十万，谈话时已经是数百万。这是转述，不是本文从状态页抄的。

响应先被约满，密码在后面几个月爆

合格的人在这件事之前就已经被订满。现在基本上不可能让一家响应公司马上到场。字幕先听成 instant response，他接着解释成做法证、帮你处理这件事的公司。大公司若没有自己的团队，会很难叫到字幕听成 Mandant 的那家、CrowdStrike，或 Sentinel One，以及其他做这项工作的公司快点来。本文不把 Mandant 改成另一家公司的正式名。

接下来会有很多人自己做法证，或自己恢复。有好安全团队的公司，失陷通知会开始出现：他们有望发现这件事，并自己做完取证。时间会拉得很开。勒索软件要钱，会来联系。政府背景的行动者，除非有研究找到他们的攻击服务器，外面听不到声音。离开这些公司的会是大量数据，包括客户数据。

密码是他单列的一截。个人被入侵的第一途径，是同一个密码用在多个网站。暗网上会反复卖出数以千万计的密码转储。多到让人不安的一批人，这套密码在邮箱上能用，在银行上也能用。邮箱一旦丢，几乎所有别的密码都能重置。他预期未来六个月，针对个人的欺诈和垃圾信息会到一个新高。

普通人挡不住失陷本身。能做的是每个网站一把不同的密码。最省事的办法是密码管理器。他喜欢的一款字幕听成 One Password，也说还有别的。若猫的名字加 123 还在很多站上，那些站都要改。攻击者人数曾经有限，大意走过差的街区可以一次次走运。他把现在比成从洛杉矶的差街区，走到他口中的 1990 年代索马里。人得对把个人信息交到哪里更小心。普通人做不了企业那种供应商问卷，但可以感觉这是不是一个只活很短的论坛。他预期会有人把垃圾注册放进另一个 Gmail，银行和要紧的账号分开，而且这个次要身份尽量和真人拆开。短信、邮件、电话会变多，因为谁认识谁、电话号码已经漏出去。绑架孙子一类的电话，现在是 AI 驱动的。

这不一定会回到基线。过去 30 天的节奏也许是高点，可能会掉一点。未来几年，攻击者和防守者的运转速度，可能就停在抬高之后的这一层。

Black October 是一串，不只是 PHP

PHP 很大。基本同一天、24 小时之内，还有一批 Node 的缺陷。Node.js 更常被企业用来做网站应用服务器。那些洞更复杂、更难利用，但分量够。过去几周还有别的失陷。一家证书机构的证书被偷。浏览器里那把小锁是这些机构发出来的。证书被偷，就可以做出同样被信任的亚马逊证书或谷歌证书。他补了一句：比这一句更复杂。这家机构他称为不那么好的一家。本文不补名字。

主持人念了一份来自 X 的名单，人们把它叫 Black October：Java、GitLab、Railway、Signal、WordPress，以及字幕听成 Light LLM。Stamos 说这很冲，也是他在台上讲过的那种起飞：被找到的洞变多，攻击者能维持的运转速度也变了。名单里的 Railway，以及他另点的 Fireworks，几乎可以肯定不是 PHP。那是攻击者把本职做好了，再被 AI 放大。他预期打基础设施原料公司的，是专业的人，不是 19 岁，更像在为商业供应商做事、做国家级工作的人。目标包括人工智能生态里重要的人、新云、托管商。API 密钥一旦在手，可以转回云上。主持人说自己以前在 Railway 的副项目里把密钥放得不安全，已经回去看过。

企业同时在处理 PHP 和 Node。他们在问每一家供应商。Stamos 得反复回信：这家公司没有 PHP，但有 Node，而且尽快修了。恐慌提醒他们的是自己有一批不知道的东西。有的 PHP 站是两年前一场会留下的页面。主持人补了一句，也许是 2011 年。架构若做对，打穿那个站不会有更坏的事。太多机构不是这样。人进了他称为 DMZ 的隔离区，旁边还有一批服务器可以接着打。或者注册名单还在上面，刚被拖走。勒索会来，国家行动者会留着以后用，然后你得做失陷通知。攻击面比预期大，很多其实在云上，很难指着说这就是边界。

政府侧，他说 NSA 发过东西，字幕又听成 SISA 也发过。漏洞大到美国政府要出声。过去几年，美国政府里做防御性网络安全的人明显少了。原因他归到政治任命官员不喜欢 SISA 做选举安全，机构因此被削。眼下的结果是：这种事仍需要政府里能干的人来协调响应。本文不把 SISA 改成另一家机构的正式名。

智能体乱跑是另一层，重写才是出口

主持人把银行报告里可能自主行动的智能体，和 Hugging Face 那次放在一起，问是不是又一层。Stamos 把两件事拆开。评测和训练时智能体逃出去，行业不能说已经解决，但已经做了很多去压低。近来听到的宣布，有一批发生在和 Hugging Face 同一时段，只是现在才说出来，还在往外漏。偶尔仍会发生。评测和训练的做法改了很多。他把「模型自己发疯去入侵别人」从该担心的威胁里拿掉。

另一侧是人把智能体交出去。字幕听成把整个密码库交给 instinct 或 muse，让它管财务、报税。他觉得这完全荒唐，也承认自己做过。银行看到的是：认证是对的，不是偷来的凭据，交互却显然是机器人。他对 instinct 的估值有自己的看法，字幕说高得离谱，本文不补金额。这家变得流行的一个原因，是找到办法绕过一批自动化的机器人检测，于是也能绕过那些机构放上的保护：不让机器人去碰生活里最要紧的部分。

张力在两侧。银行、大科技公司和金融机构会尽一切办法，阻止代表客户的自动访问。客户要省事，会把登录和个人数据交出去。他把这一侧说成交给一家只存在了六个月的公司。字幕没有把「六个月」和 instinct 收成同一句，本文也不收。

他用来收束的不是密码，是重写。互联网底下这一层，不能再靠人维持在现在这种难升级的写法上。字幕有一句含混，听成 type and memory safe on languages。本文不把它整理成一份语言清单。主张是大量底层软件得重写。五年前这做不到，现在做得到。他说 Cognition 的业务里，很大一块就是帮大公司做这种重构。例子是某套基于 SAP 的老软件，字幕说八天被重写。这是口述，本文不另核那次重构。仍要钱、要时间、要最好的模型，还要整个开源社区愿意扔掉旧的、换上新的。他叫了很久的那件事，也许终于有条件：把数以十亿美元计的钱和 token 投进一个池子，把这一层重写掉。

他给这段的长度是两年、三年或五年，用的词是黑暗年代。走得通的路是把洞找出来、修掉，然后把软件重写。开源权重模型、他口中的中国模型，会在本地把这些洞找出来。他的例子是一台终于到货的 M5 Studio Max，上面跑着量化过的模型，字幕听成 obliterated、GLM53。本文不改成已核实的模型名。他说在一台 Mac Studio 上不留日志，逆向能做的事变多了。字幕里他连着说了写利用。本文不展开做法。这些洞本来就会被找到，必须修。

主持人说上周最大的担心还是蜜罐，这一周的位置他没有准备。Stamos 留下的判断是：那种老式的人设蜜罐，以后会被想念。眼下这一层速度，不会自己退回上个月。