“Black October”这个词是安全圈自己叫出来的，带着点自嘲。404 Media的Jason Koebler把过去一个月散落在私密群组和内部邮件里的恐慌梳理了一遍：Wiz、Calif和OpenAI的研究者用AI挖出了PHP的PHP2Shell漏洞。这不是用AI辅助扫一扫，而是让模型直接从代码里找出可利用的路径。AI挖洞这件事，今年从演示视频走进了产线。
真正让Cloudflare CEO坐不住的是时间曲线。公开公告前10小时，他们已经观测到数千次利用尝试；公告后2小时，数字涨到数十万；现在是数百万级。过去一个高危漏洞从披露到被大规模利用，通常留有几天的缓冲，防守方抢在这个窗口里打补丁、做灰度。这次窗口被压成了几个小时。攻击方已经不是“更快”，是根本不需要等人来做判断。
所以这场讨论的重点不在PHP，也不在某个具体漏洞。攻防两端同时被AI加速之后，节奏由谁掌握？防守方还在排期、测试、走流程，攻击方已经在批量生成变种。Koebler的标题写得很克制——没人知道接下来会发生什么。这句不是修辞，是当下最诚实的判断。
