2024年8月初め、セキュリティ企業Califの研究者らは、PHPスクリプト言語に長年にわたり存在する一連の脆弱性（総称してPHP2Shell）に対する安定したエクスプロイトチェーンを初めて構築し、検証に成功しました。その一部のプロセスは、OpenAIの「Patch the Planet」プログラムにおける最先端のAIツールの支援を受けて実施されました。これらの基盤的な欠陥は、早くも2024年、あるいはそれ以前にまで遡りますが、これまで攻撃経路が極めて複雑で、人手による有効なペイロードの構築が困難であったため、PHP公式チームによって優先的に修正されていませんでした。
脆弱性の詳細が2026年10月に公開されてから数時間以内に、Cloudflareは世界規模で100万件を超える自動化された探査および悪用の試行が発生していることを検知しました。攻撃トラフィックは急増しましたが、PHP財団は実環境での成功した悪用事例はまだ確認されておらず、公開されている多数のPoCコードは実際には無効であると確認しています。同時期に、OpenAIおよびGoogle傘下のWiz社も、AIを活用した手法により同脆弱性の悪用経路を独立して再現しました。
複数の専門家は、AIが新たな脆弱性を生み出したわけではなく、むしろ「既知の脆弱性から実利用可能な脆弱性への至るまでの時間差」を大幅に短縮していると強調しています。Wiz社の研究者サギ・ツァディク氏は、この脆弱性について「長年にわたり人間の攻撃者には利用できなかったものの、AIモデルには解けるものだった」と指摘しています。元NSAハッカーのジェイク・ウィリアムズ氏は、PHPはインターネットに広く公開されているため、希少な「高価値で低门槛」の攻撃対象となり得ると警告しており、同規模の歴史的脆弱性が再び大量に出現することは難しいと述べています。カリフォルニア州の研究者ライアン・オースティン氏およびセキュリティエンジニアのニールス・プロヴォス氏は、現時点のAIは依然としてエキスパートによるヒント設計や分野知識に大きく依存しており、人間主導なしでは完全自動の深層的な脆弱性発見を実現できないと指摘しています。