AI 批量挖出漏洞后，披露窗口该怎么定？

OpenAI 10 月 21 日以 PHP 漏洞为例提出「Patch the Planet」协调披露框架：先在上游修复、给受影响机构预留准备时间、与政府协调、推动各产品线更新，补丁就绪后再发布指南，并预计此类发现会在未来几个月急剧增加。同一天 AWS 却报告 PHP2Shell 在禁令期内就已被利用，主张修复时限按小时计。

要点

• OpenAI 的观点：分阶段提前通知分发商、托管商等防守方，能让补丁和防护在公开时就位；它承诺提供 10 亿美元补贴的 Daybreak 访问，支持资源有限的关键服务防守方
• OpenAI 也承认即使有限的细节也可能暴露漏洞，提出在出现在野利用、泄露或补丁本身暴露问题时重新评估时间表，并公开征求对披露窗口长短的意见
• AWS 的观点：AI 让把补丁或公告变成可用利用的成本更低，7 天或 30 天的修复时限已跟不上威胁，检测也不应依赖针对具体 CVE 的特征
• 两者并不完全对立：分歧集中在提前通知范围越大、泄露风险越高这一权衡上

来源

### [AI 批量挖出漏洞后，披露窗口该怎么定？]({{URL}})

OpenAI 10 月 21 日以 PHP 漏洞为例提出「Patch the Planet」协调披露框架：先在上游修复、给受影响机构预留准备时间、与政府协调、推动各产品线更新，补丁就绪后再发布指南，并预计此类发现会在未来几个月急剧增加。同一天 AWS 却报告 PHP2Shell 在禁令期内就已被利用，主张修复时限按小时计。

- OpenAI 的观点：分阶段提前通知分发商、托管商等防守方，能让补丁和防护在公开时就位；它承诺提供 10 亿美元补贴的 Daybreak 访问，支持资源有限的关键服务防守方
- OpenAI 也承认即使有限的细节也可能暴露漏洞，提出在出现在野利用、泄露或补丁本身暴露问题时重新评估时间表，并公开征求对披露窗口长短的意见
- AWS 的观点：AI 让把补丁或公告变成可用利用的成本更低，7 天或 30 天的修复时限已跟不上威胁，检测也不应依赖针对具体 CVE 的特征
- 两者并不完全对立：分歧集中在提前通知范围越大、泄露风险越高这一权衡上

**为什么值得关注**：当 AI 让发现漏洞和编写利用都变快，协调披露的「保密期」和企业的「补丁 SLA」都需要重新设定；安全和运维负责人可以据此复查自己的紧急补丁流程。

来源：[Patch the Planet: coordinating a global response to critical vulnerabilities that AI agents uncover](https://openai.com/index/coordinated-disclosure-of-critical-vulnerabilities/)；[Amazon threat intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/)