WordPress 启动核心安全计划：AI 驱动漏洞报告量暴增，生态迎考
WordPress 项目正式宣布启动 Core Security Initiative（核心安全计划），旨在系统性应对近一年来由 AI 辅助安全研究引发的漏洞报告潮。
Automattic 高级系统工程师 Rudy Faile 于 8 月 28 日在 Making WordPress Secure 博客发布公告，指出过去一年"收到的安全报告数量大幅增长"，主要由前沿 AI 模型协助安全研究的能力提升所驱动。
“分析代码潜在漏洞从未如此简单，整个 WordPress 生态的报告量也随之上升。这是好事：更多人关注 WordPress 意味着更安全——但项目需要扩大 triage、验证和处理的能力。”
安全团队代表 John Blackbourn 随后在 Post Status Slack 中分享了一张 HackerOne 漏洞赏金报告趋势图：从过去十年月均 20~30 份的基准线，骤升至 7 月的 450 份。他在帖子中写道："我们已全面进入 AI 辅助安全研究的新时代。" 据悉，这一增长始于今年 1~2 月，主要由 GPT 5.3 和 Claude Opus 4.6 驱动，此后持续加速。
核心变化：ABC 三支柱应对"报告洪峰"
Core Security Initiative 将团队应对方案组织为三大"ABC"支柱：
- A — 更好的发布流程：流程更紧密、自动化程度更高、端到端测试改进
- B — 更多人手：扩充团队成员和志愿者，将积压开放报告数降至零
- C — 用 AI 对抗漏洞：引入 AI 辅助扫描和工具，在漏洞被利用前主动发现
第三支柱的表态尤为关键——安全团队终于承认，正面迎接攻击者和独立研究人员已在做的事：用 AI 找漏洞。不过公告未披露具体使用何种工具或模型。
值得注意的是，该计划在 WordCamp US 2026（凤凰城）期间的安全团队会议上讨论过，但公告未透露负责人人选和时间表。
影响与建议
密集修复窗口已至。 自 7 月以来，WordPress 已连续发布三个紧急版本：
- 7.0.2（7 月 17 日）：紧急修复关键预认证 RCE（近数年最严重漏洞），由使用 OpenAI Sol Ultra 的安全研究人员发现
- 7.0.3（约 8 月上旬）：一次性修复 12 个漏洞
- 7.0.4（紧随其后）：修复通过 Imagick 触发的作者级 RCE
对站点管理者建议： 当前处于高强度修复周期，强烈建议立即更新至最新版，并持续关注 WordPress 安全公告。Rudy Faile 同时在个人博客撰文预警，援引 Anthropic 评估数据及 DEF CON 34 会议内容，指出 AI 网络攻击能力约每六个月翻倍，"大事将至"。
对安全研究人员建议： 通过 WordPress HackerOne 计划 提交漏洞报告时，请务必先阅读提交指南——在当前报告体量下，报告质量比以往任何时候都更重要。
