最近整个互联网都是漏洞，WordPress 官方却说比以前更安全了，还给出了详细的报告！
最近这两个月，感觉整个互联网都是漏洞，不管是 WordPress 站点，还只是怕个个普通 PHP 服务，大概都有同一个感觉：补丁怎么打不完了。
PHP 那边 php2shell 两个 9.2 分的洞，大家连夜升级 PHP，WordPress 这边 7 月中旬以来发了 7 个安全版本，光最近 40 天就是四个。 再接着，Linux 内核、Chrome、Safari 这些老牌项目也一批批被挖出问题，跟着发补丁。
整个十月，技术圈的主线剧情就是打补丁。
于是很多人心里冒出一个疑问：现在的程序是不是越来越不安全了？
这个问题太大，刚好 WordPress 官方的安全团队公布了「核心安全计划」（Core Security Initiative）启动两个月的成绩单，可以很好解释这个问题，答案也跟大家的直觉完全相反：
这波暴涨的漏洞报告里，很多是被 AI 工具加速了的真实研究，而这正让 WordPress 变得更安全。至少在 WordPress 这里，AI 让它更安全了，不是更危险。
这也很好理解，漏洞一直都在那儿，不是今年才长出来的，只是以前没人找到，AI 把「找到」这件事的速度提上来了，于是藏了多年的洞被一批一批翻出来。洞还是那些洞，但被看见的数量和被修好的速度，今年是前所未有的。
先看数字
过去十年，WordPress 收到的漏洞报告是每月 20 到 30 份。
到了今年：
- 7 月：450 份
- 8 月：773 份
- HackerOne 项目页（https://hackerone.com/wordpress）现在显示：过去 90 天 2,306 份
- 今年到目前为止：超过 3,000 份
3,000 是什么概念？比之前十二年加起来的总和还多。
所以最近几个月 WordPress 小版本一个接一个，不是核心突然变烂了，而是以前藏着的洞现在被大模型给翻出来了。发现得越多，修掉的才越多，这就是官方说「更安全」的原因。
前面我们介绍过的 php2shell，那两个 9.2 分的洞，最早也是 AI 顺着老线索摸出来的。不止 WordPress，整个开源世界今年都在经历同一波浪潮，也被同一套逻辑解释。
41 天四个安全版本
发现变快只是第一步，报告进来之后的分诊、修复、向后移植、测试、发版，任何一环跟不上，挖出来再多也是白搭，核心安全计划干的就是这件事。
WordPress 安全团队 7 月中旬以来核心一共发了 7 个安全版本，修掉 50 多个关键（Critical）或高危（High）漏洞。光最近 40 天就是四个：7.1.1（9 月 17 日）、7.1.2（9 月 22 日）、7.1.3（10 月 6 日）、7.1.4（10 月 28 日）。
更关键的是后面这句：每一个修复都向后移植到了所有还在接收安全更新的分支，一路补到 4.7。
意思是只要你用的是 4.7 以上的版本，理论上都还在被保护，老版本不是没人管，也别再拿这个当不升级的借口，我之前也介绍过：WordPress 最近高危漏洞频发，不想/不能大版本升级怎么办？
为了使得这个安全发布能够更加快速，WordPress 安全团队在发布流程上还做了两件事。
第一，每次发版配一套固定班底。 发布主持人、核心提交者、负责打包的 Mission Control、负责开自动更新和语言包的 WordPress.org 提交者、HelpHub 编辑、Gutenberg 负责人。每个人在发布日之前就知道自己要干什么。发布分两波走，用得最广的版本先发，老分支后发，让最多的站点尽早被保护起来。
第二，把慢的环节自动化。 以前向后移植一个修复，要在最多 25 个分支上手动跑脚本，每个修复都来一遍。现在一个安全发布的 109 个步骤里，73% 已经自动化。不涉安全的工具都在 GitHub 上公开（core-release-utils）。
有意思的是他们刻意留了一些摩擦：能打包发布的人仍然只有很小一撮，这是故意的，用来防供应链攻击。
AI 分诊，人拍板
报告暴涨带来的第一个问题不是修不过来，是看不过来。
9 月 1 日 WordPress 官方先更新了漏洞披露计划（Vulnerability Disclosure Program）的范围，把研究者的注意力收拢到安全影响明确的问题上。
然后他们做了一套 AI 分诊（triage）系统：读取新进来的报告、在隔离环境里复现、给出一份摘要和一个建议（这个报告成不成立、严重程度大概多少）。
最终拍板的仍然是人类安全研究员。 这个边界划得很清楚，AI 出的是建议，不是结论。结果是：今年关闭了近 3,000 份报告，未分诊队列从 359 份降到两位数，而且他们想一直保持在这个水平。
拿 AI 主动去挖洞
光接报告不够，他们想在被人报之前就自己找到。
于是那套本来用来验证「这个报告成不成立」的智能体工具，被调转了方向，直接去核心代码里找漏洞。跑的是开源权重模型（open weight models）加自建的测试装置（harness），找到的问题走同一套发布流程。
另外一个动作是 WordPress 加入了 Anthropic 的 OSS Scanner，这个项目给开源项目免费提供用 Anthropic 最强模型做的安全扫描。第一轮扫描结果里被点出来的问题已经开始处理，而且已经在发版公告里给 Anthropic 署名了。
对个账：10 月 28 日那个 7.1.4，隐私数据移除请求和用户登录名那两条存储型 XSS，报告方写的就是 Anthropic，这个署名不是客套，是新流程的一环。
最后说两句
第一，这篇最值钱的其实是官方那句判断。AI 把挖洞的速度提上来之后，WordPress 官方的反应不是喊疼，而是把「接报告到发版本」的整条流水线拆了重做，两个月就交出了修复 50 多个高危的成绩。 对开源项目来说，AI 这波浪潮是好事还是坏事，取决于下游接不接得住，WordPress 这次接住了。
第二，对站长来说就一条实操结论：开自动更新，或者至少保证有人盯小版本。 现在的安全版本节奏是「40 天四个」，靠人手动点已经跟不上了。好在 WordPress 的小版本自动更新本来就是默认开的，很多人是自己关掉的，赶紧开回来。
第三，别再拿「我用的是老版本，反正也没人管」当借口。官方明确写了，每个修复都向后移植到所有还在接收安全更新的分支，一路到 4.7。再次提醒一下小版本如何更新：
