过去两个月，OpenAI 联合维护者、研究人员和安全厂商，处理了 PHP 的关键漏洞。PHP 是运行网站和 Web 应用的开源编程语言。Calif 使用 GPT-5.6 Sol 发现了一个严重缺陷，Wiz 也独立发现并报告了两个漏洞。PHP 维护者主导修复与发布，OpenAI、Wiz、Cloudflare 等提供研究、技术支持和协调，在公开披露前准备防护。

OpenAI 称这是近期最有影响力的安全问题之一。AI 能帮助发现互联网规模的安全漏洞，但同一能力也可被攻击者利用。目前前沿 AI 先于攻击者找到漏洞，为维护者和安全厂商打开了 Defender’s Window，赢得修复时间。针对 PHP 用户，OpenAI 发布了 PHP 版本检查器（Codex skill），帮助运维者识别易受攻击的版本，并参考 PHP 官方与供应商指引决定更新。此外，OpenAI 承诺通过 Daybreak for Frontline Defenders 提供 10 亿美元 补贴的 Daybreak 访问，重点支持安全资源有限的组织。

基于这次经验，OpenAI 提出一个面向 AI 时代的关键漏洞响应框架，包含五个阶段：一，验证并修复上游漏洞，包括用前沿模型进行对抗性测试，检查补丁绕过方式和相关变体；二，给受影响组织留出行动时间，由维护者决定哪些组织提前获得信息，分发商、托管商和安全商各自准备适配、缓解和防护规则；三，与政府协调，让指导触达关键基础设施机构，PHP 案例中与白宫 Super Intelligence Force、ONCD、CISA 及国际伙伴合作；四，准备跨受影响产品的更新，涉及更多分销商、服务商和响应团队；五，补丁可用后发布公开指导，帮助运营者评估暴露、找到权威更新或临时缓解，并确认修复生效。

OpenAI 也说明了参与者的信息共享原则：每个参与者只获得完成防护所需的信息，从网络日志到更敏感的 PoC 利用代码，因为即使有限细节也可能暴露漏洞，所以需要权衡分享风险与保护效果。如果出现野外积极利用、信息泄露、公开补丁或用户风险升高，时间线会重新评估。Patch the Planet 网站汇总了公开披露和指导，运营者还可参考 CISA 的优先级与修复指导。

在支持维护者方面，OpenAI 提供资金、模型访问和工程帮助，包括通过 Codex for OSS 为维护者提供订阅，直接赞助 Rust 基金会等。同时为 Daybreak 增加额外阻断分类器以减少滥用，但承认安全措施会阻碍合法安全研究。OpenAI 还提出长期方向：从源头构建更安全软件，包括安全默认编码、迁移到内存安全语言、形式验证、加强隔离等。

最后，OpenAI 公开征求反馈，希望改进框架。它特别关心披露窗口需要多少时间、紧急修补的适用条件与保障、谁需要提前通知、以及如何在等待上游修复时帮助下游包。它还邀请独立安全专家审查框架并指出盲点。