被忽略两年的旧 bug 成了攻击入口，一个免费下载的 AI 模型在美欧不能用

1. 被忽略两年的旧 bug，在 AI 的帮助下成了攻击入口

PHP 是全世界很多网站背后在用的编程工具，WordPress 就是用它写的。10 月 21 日，PHP 官方发了紧急公告，修了两个严重漏洞。攻击者不用登录，只发一个请求，就可能在服务器上运行自己的代码。

这两个漏洞里，和 AI 有关的是第一个。它背后是个很老的毛病：内存不够时，程序收尾收得不干净，留下了残缺的数据。这个毛病 2024 年就有人报告过，但一直没人修，因为看上去顶多让程序崩溃，没人觉得能被拿来攻击。

今年，一家安全公司受 OpenAI 赞助，去审查 PHP 的代码。据工程师协会 IEEE 旗下的杂志报道，公司里的一位研究员借助 AI 工具，两周内就想出了怎么利用这个毛病。这样一来，它就成了能运行任意代码的漏洞。哥伦比亚大学的一位教授说，利用它要做一大堆很具体、很烦人的推理，AI 干这个很在行。不过他也说，这位研究员本来就是行家，AI 还做不到全自己来。

IEEE 写的是，补丁赶在坏人拿到漏洞之前就发了。但科技媒体 The Register 说，官方公告发出前几天，就有人报告攻击者已经在利用这些漏洞。另一家安全公司 VulnCheck 在公告后，还做出了一个攻击方法，能绕过服务器常见的防护。

所以管网站的朋友，尽快把 PHP 升到公告里的修复版本。暂时没法升级的，官方给了几个减轻风险的设置，但也明确说，这些不能保证安全。

以后不能再拿“这个漏洞太难利用”当理由，拖着不修了。以前难，是因为要花很多人力去推理，现在 AI 把这一块削掉了不少。

2. 一个能免费下载的 AI 模型，在美国和欧盟不能用

MiniMax 是一家中国的 AI 公司，做了个生成视频的模型，叫 H3。另一家公司把它改成了一个生成图片的模型，叫 P-H3-Image，能按文字出图，也能改图。这个新模型在模型网站上可以免费下载。

新模型是从 H3 改出来的，所以要沿用 H3 的使用规矩，也就是许可证。下载之前先看一眼，它写得很清楚：不能在欧盟、英国、韩国和美国使用，连用它生成的图片和视频，也不能在这些地方用。许可证没有解释原因，只说这些地区的公司如果想用，可以联系 MiniMax，单独申请授权。

另外还有几条规矩。拿它做商业产品，要在界面上标出“MiniMax H3”，年收入超过 2000 万美元的，还得另外申请授权。用它生成的内容，不能拿去训练别的 AI。出了纠纷，按香港的法律办。

对在中国和东南亚做产品的人，这个模型可以直接用。对想进美国和欧洲市场的人，这是一道硬门槛。以后选能免费下载的模型，不能只看能不能下载，还要看许可证在哪些地方有效。