PHP2Shell нашли ИИ-модели: OpenAI описала, как готовили патч

21 октября OpenAI опубликовала рассказ о том, как около двух месяцев готовилось исправление PHP2Shell — двух уязвимостей PHP, о которых мы писали вчера. По словам компании, одну из них нашла команда Calif с помощью модели GPT-5.6 Sol в рамках программы Patch the Planet, а Wiz независимо обнаружила обе. Wiz в своём отчёте пишет, что в поиске, написании эксплойта и проверке патча участвовали её инструмент Wiz Atlas, Gemini 4 Argon и GPT-5.6 Sol, а команде PHP она сообщила о находке 24 августа.

OpenAI предлагает порядок раскрытия таких находок в пять этапов: исправление с проверкой на прочность фронтирными моделями, затем время дистрибутивам, хостерам и поставщикам WAF, потом госорганы и критическая инфраструктура, обновления продуктов и в конце публичные инструкции. Сроки пересматриваются, если детали утекли или начались атаки — в этот раз так и случилось. Для тех, кто делает сайты, есть практическая часть: проверка версии PHP оформлена как навык Codex, а поддерживающим открытые проекты обещаны подписки Codex for OSS.

Чего нет: в посте OpenAI нет номеров CVE, технических деталей и числа затронутых серверов, а предложенные сроки раскрытия и экстренных патчей компания сама просит сообщество оценить. Слова «ИИ нашёл эти уязвимости раньше злоумышленников» — утверждение OpenAI; Cloudflare в тот же день сообщила, что видела атаки на своих клиентов ещё до официальной публикации, потому что детали утекли. Вывод для практиков прежний: такие находки будут появляться чаще, и обновлять PHP придётся быстрее.

Источник: OpenAI, Patch the Planet