前情：本站稍早發過 PHP 基金會角度的修補始末與 331 則留言整理（PHP 重大安全更新）。這篇是另一面：OpenAI 角度的全球協調揭露，以及 Hacker News 討論串 50181175 的 168 則反應。懶人包放在文末。
OpenAI 原文翻譯
原文連結：https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/
過去兩個月，我們領導了一個由維護者、研究人員與資安廠商組成的聯盟，處理 PHP 中的重大漏洞。PHP 是用來運行網站與網頁應用的開源語言。Calif 使用 GPT-5.6 Sol，在 Patch the Planet 倡議下找到其中一個關鍵缺陷，Wiz 也獨立發現並通報了這兩個漏洞。PHP 維護團隊主導修復與版本發布，我們的團隊與 Wiz、Cloudflare 等夥伴提供研究、技術支援與協調，在公開揭露前先備妥防護。
對使用 PHP 的組織來說，現在的首要任務是套用修復。我們釋出了一個 PHP 版本檢查器，以 Codex 技能形式提供，協助維運人員辨識可能受影響的版本，並搭配官方與服務商指引，判斷適用哪些更新。
以這次缺陷嚴重程度與 PHP 普及率來看，這是近年罕見的重磅資安事件，也凸顯人工智慧能發現影響整個網際網路的安全漏洞，同樣的能力也可能被攻擊者用來快速開發攻擊工具。
就我們所知，是前沿人工智慧比攻擊者先找到這些漏洞，因而開啟了一個防禦者窗口，讓維護者與資安廠商能在揭露前先準備修復與防護。
為了讓更多防禦者用上這些能力，我們以前線防禦者計畫承諾提供 10 億美元補貼的 Daybreak 存取額度，聚焦資源不足、但守護關鍵服務的組織。
儘管事態重大，這些臭蟲只是我們已發現、正在協助修復的數個重大漏洞之一，我們預期類似發現未來幾個月會急遽增加。藉由目前為止的經驗，我們提出一套適用於人工智慧時代、應對廣泛使用軟體中重大漏洞的方法，並邀請資安社群協助完善這個框架。
協調全球應變
讓修復真正上線，可能代表要為舊版改寫修補程式，準備服務商端的緩解措施，並協助眾多組織更新系統。可重複的流程，能讓這些團隊在更多漏洞被發現時快速行動。
在 Patch the Planet 裡，我們投入資安專業與模型存取，支援 PHP 這次應變，並與維護者及研究夥伴合作測試修復、準備指引。我們也協助與基礎設施廠商協調受影響系統的防護，並與政府資安機關聯繫，協助指引送達關鍵組織。
有些發現，研究人員可直接與維護者合作調查、開發修復。另一些則需要更大規模的應變，因為它們影響眾多產品，或經銷商與服務商需要時間準備更新與防護。在這些情況下，這套框架能幫維護者判斷該找誰、協調彼此分工。應變可分為五個階段：
- 驗證並修復上游漏洞。維護者、研究人員與關鍵技術夥伴確認發現、評估影響，並開發、測試修復。這包括用前沿模型做對抗測試，尋找繞過修補程式的方式與相關變體。
- 給受影響組織時間採取行動。我們提出一套框架，思考哪些組織需要提前取得資訊以準備防護，最終由維護者決定納入對象。經銷商可能為舊版改寫修復，託管商可能測試緩解措施，資安廠商可能準備偵測或防禦手段，包括網頁應用防火牆規則。
- 與政府夥伴協調，保護關鍵系統。政府機關在協調大規模應變、協助指引送達關鍵基礎設施與關鍵服務負責組織上，扮演關鍵角色。在 PHP 這次事件中，我們與夥伴合作，與美國多個單位聯繫，包括白宮超級智慧部隊、國家網路總監辦公室、網路安全暨基礎設施安全局，以及國際夥伴。
- 在受影響產品間準備更新。當修復、指引與揭露計畫趨於穩定，維護者可納入更多經銷商、託管與服務商、應變團隊與維運方，準備更新並補上覆蓋缺口。
- 修補程式就緒後，發布指引並支援部署。公開指引協助各界評估曝險，找到官方更新或過渡緩解措施，並確認修復已生效。
每位參與者只會拿到完成防護工作所需的資訊，從含入侵指標的網路紀錄，到更敏感的可用概念驗證。即使是有限的細節也可能洩漏漏洞，所以分享前會先衡量風險，確認防護效益大於洩漏風險。
Patch the Planet 網站彙整公開揭露與指引，協助維運方辨識受影響系統、找到正確更新，並驗證更新後的軟體正常運行。指引也涵蓋過渡緩解措施、何時該找服務商或專家協助，以及備份與復原。
維運方可使用 CISA 的優先排序與修復指引，依曝險、利用情形與潛在衝擊評估行動速度。可能是緊急修補、立即緩解，或計畫性更新，必要時搭配鑑識分流，評估系統是否已被入侵。
給維護者應變所需的能量與資源
全球協調仰賴維護軟體的人。許多專案由小團隊運行，日常開發之餘還要審查安全通報。這些團隊需要協助分辨新問題與重複通報、評估影響，並跨支援版本測試修復。我們以資金、強大模型存取與實作工程支援，支持這項工作。
投資包括用 Codex for OSS 為所有維護者提供訂閱，以及直接贊助專案，例如鏽語言基金會，支持維護者與技術工作。各專案自訂優先事項。可重用的測試與安全工作流程，能降低處理未來發現所需的心力。
我們也在為 Daybreak 調校額外的阻擋分類器，以降低濫用風險。這涉及艱難取捨：防濫用的安全措施也可能擋掉正當資安工作。廣泛取得強大模型，與有效防範濫用，兩者都關鍵。
建構更安全的軟體基礎
隨著模型能力提升，機會不只在找漏洞、修單一漏洞。我們想協助工程師從一開始就寫出更安全的軟體。對廣泛使用的元件的一點改善，就能預防臭蟲，或限制其在眾多產品與服務中的衝擊。
- 從源頭寫出安全程式碼。寫程式模型可協助開發者選擇更安全的預設值，正確使用安全函式庫，並在撰寫時抓出危險模式。
- 記憶體安全軟體。把關鍵元件搬到記憶體安全語言，可消除常見的記憶體錯誤類別。人工智慧可協助遷移，再以測試與專家審查確認行為與相容性。
- 形式化驗證。數學證明可在既定假設下，證明關鍵元件滿足特定安全屬性。
- 更強的隔離。把處理不可信檔案、圖像或媒體的軟體，放在嚴格受限的沙盒中運行，可在被攻破時限制損害。
Daybreak 是什麼
Daybreak 是 OpenAI 的資安專用存取計畫，給驗證過的防禦者，用更寬鬆的前沿模型做授權防禦工作。組成是前沿模型、Codex 工具鏈、受監管的工作流程。分級如下：Blue 給驗證過的企業與防禦者，Red 給審核過的測試者，可做滲透測試與漏洞研究。前線方案提供 10 億美元補貼額度，給資源不足的關鍵服務，美國優先。另有開源支援，協助維護者修補與測試。
HN 168 則反應整理
討論串 50181175，251 分，168 則存活留言。總論：負面壓倒性多數，焦點是功勞歸屬與放火賣水質疑。
放火賣水是最大串。digitaltrees 開火：問題是我們搞出來的，付大錢可幫修，危險東西照樣全速發布。wartywhoa23 用鎖匠比喻：滿世界都是難撬的鎖，有人發明通用撬鎖器，再叫你付錢買新鎖。Noaidi 補刀：只要他們找得到，誰都找得到。回防方以 richardw 為代表：漏洞幾十年前就在，找到或留給更危險的人，別槍殺信使。orangedog、zodiac、Ajedi32 同調：揭露不等於製造。
功勞歸屬是第二大串。nr378 引 Calif 自述：沒有特殊工具鏈，也沒用非公開模型，靠的是懂目標、熟漏洞史。SolarNet 補充：模型預設從最新漏洞往旁邊找，不會從 20 年前的冷門原語開始，是專家帶方向逼問。burkaman 說只讀原文會以為人工智慧包辦一切。時間線是 8 月 1 日受邀，8 月 5 日發雜湊宣示，8 月 11 至 14 日交遠端程式碼執行概念驗證，8 月 19 至 24 日 Wiz 獨立撞到同家族。
行銷與監管質疑也多。Jeep 說純行銷，redanddead 說嚇人換監管俘虜，mentalgear 說上市前吹哨，moregrist 說比較像大牌刷好感。
實質吐槽最值得看。ptmkenny 指出只修到 8.2，年底停止支援，7 版甚至 5.6 仍大量在線上，正是人工智慧最擅長改寫的舊版修補。sevenzero 說 7 版靠社群大神幾乎同步有修補。OlivOnTech 酸版本檢查器只是查版號加對照表，aprilnya 去倉庫看了證實如此。InsidiousWombat 說系統裸奔一月，只有少數人先拿修補，不如直接公開。12837615 說 10 億額度不如直接給開源做測試覆蓋與模糊測試。
一頁懶人包
手機版備援：https://static.blog.derekhsu.net/php-patch-planet.html