用了十七年的金鑰被「一下子算出來」？一則論壇短訊裡，三件事的證據份量差很多

V2EX 程序員節點近日出現一篇名為「今日份的新聞」的帖子，發文者 ruidoBlanco 在三行文字裡塞進三件事：其一，有印度使用者的 CA 私鑰「被人輕鬆算出來」，該金鑰已使用十七年，發文者推測是「AI 一下子發現了」弱點；其二，PHP 出現兩個 CVSS 9.2 分的 CVE，據稱由 Google Gemini 發現；其三，Plex 裁掉整個 player 團隊，發文者評論「說跟 AI 沒關係是不可能的」。帖末另有回覆者 stevenshuang 補充，GitLab、LiteLLM、Rust、Node.js 也「都爆出來了」。

三件事的性質完全不同，需要分開檢驗。目前來源僅是論壇短訊，三項說法均無官方公告、CVE 編號或廠商聲明可對照，本文先以「發文者的說法」處理，逐項拆解它們各自需要什麼證據才成立。

私鑰被「算出來」：機制上可信，細節上無從核對

第一項說法涉及的是金鑰生成弱點，而非密碼學被整體破解。十七年前生成的 RSA 或 ECC 金鑰，若當時的隨機數來源有缺陷（例如 Debian OpenSSL 2008 年那場著名事故，導致多種金鑰強度實質歸零），確實可能被事後大規模推導。歷史上研究團隊掃描網路上的 TLS 憑證、找出共享質因數的弱 RSA 金鑰，已有多次公開論文。換句話說，「老金鑰因生成時的缺陷被算出來」在機制上完全成立。

問題在於「AI 一下子發現了」這個歸因。把既有弱金鑰掃描出來，與 AI 找到新的數學弱點，是兩回事。發文者用的是「大概是」三個字，也就是他自己也沒有依據。在沒有金鑰參數、時間戳記與攻擊方法公開之前，這一項只能當成「有一把舊金鑰出事了」的線索。

PHP 的兩個 9.2 分：分數可以查證，歸因同樣存疑

第二項相對容易核對。CVSS 9.2 屬於 Critical 級距，若屬實，PHP 官方與美國 NIST 的 NVD 資料庫會有對應條目與編號，修補時程也會反映在 PHP 的版本發布紀錄。大語言模型輔助漏洞研究確實是真實趨勢，Google 旗下團隊過去就曾以模糊測試與 AI 工具在開源專案中找到大量記憶體安全問題，這與我們先前討論過的Linux 核心對 AI 產出程式碼的標註規則調整同屬一條主線：AI 從寫程式碼延伸到審程式碼，開源社羣正在為此調整治理規則。

但「Gemini 發現的」目前也只是發文者的轉述。漏洞通報的標準流程會記載發現者身分，這部分等 CVE 條目公開即可驗證，不需要搶先相信。

Plex 裁員與「不可能無關」：因果推論最弱的一項

第三項的結構最鬆散。「Plex 開掉整個 player 團隊」若屬實，屬於企業整併研發資源的常規操作，Plex 近年多次調整產品線與人力，媒體播放器市場本身也在萎縮。發文者「說跟 AI 沒關係是不可能的」是反向論證：先把裁員與 AI 綁定，再用「不可能無關」堵住反例。這種句式無法檢驗，也無法反駁，在分析上應直接剔除。

真正可討論的是趨勢面：若 AI 輔助開發確實降低各平臺播放器與基礎元件的維護成本，企業確有動力收縮自養團隊、改用開源方案與外部維護。但這是產業層面的推演，與 Plex 本次（未經證實的）裁員是兩碼事。

收束：三則短訊，三種可信度

把三件事排在一起看：私鑰事件機制可信、細節缺失；CVE 說法最容易查證，等編號即可定案；Plex 因果論則屬於無法檢驗的斷言。回覆者補充的 GitLab、LiteLLM、Rust、Node.js 名單同樣沒有附上任何編號或連結，可信度與主帖相同。

這則帖子真正的訊號不在任何單一新聞，而在討論密度：資安圈與開發者社羣對「AI 改變漏洞發現成本」的預期已經強到，任何資安事件出現，第一反應都是猜 AI。這個預期本身會先於事實影響企業的資安預算分配與漏洞賞金結構，值得後續用可查證的 CVE 資料持續追蹤。