七成网站靠它，基金会只有 1 名全职员工：PHP 的 AI 悖论

本周，PHP 曝出两处高危漏洞，全球运维团队连夜打补丁。Cloudflare 监测到数百万次攻击尝试。当人们再次意识到这门三十年历史的语言撑起了多大一片互联网时，另一个数字显得格外刺眼：维护它的非营利基金会，只有一名全职员工。

一分钟速览

• PHP 基金会执行董事伊丽莎白·巴伦表示，基金会只有她一名全职员工，另有十四名大多是兼职的外包人员，董事会成员均为无薪志愿者。
• 据估算，全球最高约七成网站依托 PHP 搭建。
• 本周 PHP 曝出两处高危漏洞，Cloudflare 监测到数百万次攻击尝试；基金会称没有证据表明漏洞在公开前被成功利用。
• 这些潜伏多年的漏洞，正是借助人工智能才被研究人员发现。
• 与此同时，PHP 项目收到的代码修改提案数量接近一年前的两倍，但贡献者人数没有同步翻倍。

一个人的基金会，和七成互联网

PHP 基金会是一个非营利组织，资金来源依靠捐赠与资助，董事会成员不领薪水。执行董事巴伦在邮件采访中描述的结构是：一名全职员工，十四名大多兼职的外包人员，加上一群无薪志愿者。这就是支撑一门被大量网站依赖的语言的行政与技术协调班底。

这种失衡不是 PHP 独有。开源基础设施的普遍困境在于：使用是免费的、分散的、沉默的，而维护是集中的、昂贵的、可见的。企业把它当成默认存在的基础设施，直到漏洞爆发才想起它的存在。

这一次的漏洞处置提供了一个正面样本。基金会与外部研究人员以及多家企业合作，包括 OpenAI、网络安全公司 Wiz 和 Calif，共同排查问题、协调补丁开发，本周三发布的修复补丁就是这项合作的成果。巴伦说，几家机构都没有反馈已修复系统出现异常。

AI 既是帮手，也是负担

这批潜伏了十年的漏洞，是借助人工智能才被研究人员发现的。AI 在代码审计上的效率，让过去因人力不足而被搁置的角落重新被照亮。这是实实在在的收益。

但同一股力量也在反向施压。巴伦提到，AI 提升了程序员的工作效率，维护人员的工作量却因此增加：PHP 项目收到的代码修改提案数量接近一年前的两倍，可贡献者人数并没有同步翻倍。审核代码提交和漏洞报告需要投入大量人力，依赖经验判断，不是简单跑一遍测试就能过关。

这就形成了一个悖论：AI 让“发现问题”和“提交修改”的成本大幅下降，却没有让“判断什么该合并”的成本同步下降。瓶颈从生产端转移到了审核端，而审核恰恰是最依赖资深维护者的环节。

更麻烦的是，AI 生成的低质量提案会稀释注意力。维护者需要在大量看似合理、实则存在边界问题的补丁里筛选，这种认知负担很难被工具直接消除。

为什么资金总是跟不上依赖

开源资金的筹措有几个结构性难点。第一，受益者分散。使用 PHP 的公司数以百万计，但没有任何一家会因为“不用 PHP”而立刻陷入困境，于是搭便车的动机始终存在。第二，贡献难以归因。企业赞助基金会，很难直接换算成营收或成本节约，采购部门缺少立项理由。第三，安全投入的收益是“没有发生的事”，预算评审时天然吃亏。

结果是，一个支撑大量关键业务的组件，其维护预算可能还不如一家中型公司的内部工具团队。巴伦的判断很直接：既然大家如此依赖它，那么 PHP 的资金投入就是严重不足的。

值得注意的是，商业公司并非没有行动。OpenAI、Wiz、Calif 在这次漏洞处置中参与了协作，说明关键基础设施的安全已经进入 AI 公司的视野。但这种项目制、事件驱动的合作，和稳定的长期资助之间还有很大距离。

对使用方的三条现实建议

第一，把开源依赖纳入风险管理。梳理技术栈里哪些组件由小型基金会或个人维护，评估一旦出现长时间停更或高危漏洞，业务的应对方案是什么。第二，用钱投票。对关键依赖，通过基金会捐赠、企业会员、赞助维护者的方式提供稳定资金，金额不必夸张，但要是持续的。第三，参与审核。如果企业有能力，把工程师的 upstream 时间写进考核，而不是只允许提交内部补丁。

对个人开发者来说，最实际的动作是保持版本更新、关注安全公告、不要在老旧分支上长期停留。这次漏洞的修复补丁已经发布，延迟升级的每一小时都在扩大暴露面。

趋势：AI 时代的开源安全经济学

AI 正在同时降低攻击和防御的门槛。漏洞发现更快，利用代码生成也更快，补丁分发的窗口被压缩。这意味着开源项目的响应能力，会直接变成下游用户的风险敞口。

过去，开源可持续性是一个道德议题；现在，它正在变成一个财务和合规议题。当监管开始要求软件供应链透明度，当保险和审计开始追问依赖项维护状态，“这个项目有没有人维护”会像“这个供应商有没有资质”一样进入采购清单。

PHP 的处境是一个提前到来的样本：技术被广泛依赖，治理结构却很单薄，AI 一边帮忙找出十年的旧账，一边把新的工作量堆到同一个人桌上。解决它需要的不是一次捐款，而是把开源维护从“志愿者的善意”变成“产业链的成本项”。