一个漏洞传闻就足以让AI在几分钟内找到安全漏洞

如今，仅仅有个漏洞的传闻就足以发现安全漏洞

阿尼尔·马达瓦佩迪是剑桥大学的计算机科学教授，也是 OCaml 编译器的核心维护者。他在一篇令人颇感不安的帖子中指出，在补丁刚被分享出来供讨论后仅数分钟，OCaml 项目中的安全漏洞就已出现疑似利用尝试的迹象：

这种情况通常需要几天时间，一到两周内发布新版本也算合理。然而，仅仅大约十分钟（！）之后，这个网站就开始收到针对百分号编码的目录遍历序列的探测请求，这表明有自动化监控程序正在密切关注公开的代码仓库。

如今的代码分析工具已经强大到只需一丝关于新漏洞的蛛丝马迹，就能将其定位；阿尼尔借助自己的分析代理也证实了这一点——当 Claude Fable 拒绝执行任务时，他便改用 DeepSeek V4 Pro。

阿尼尔指出，如此之快的漏洞发现速度似乎与现行开源社区针对新问题的“保密期”惯例并不相容。如果一个问题能在这么短的时间内被转化为实际攻击，我们就必须重新设计流程，以保障社区的安全。

rclone 的维护者尼克·克雷格-伍德 在Hacker News评论中确认了这一点 表示，他的项目同样面临这一问题：

在 rclone 项目的前十年里，我们通过 GitHub 收到了约 20 起安全漏洞报告。而仅在过去一个月内，这一数字就超过了 40 起！即便借助 AI 工具进行分类并提出待审核的修复方案，这些工作仍占用了我大量时间。而且，这些报告的“命中率”相当高——大约 75% 都包含值得深入排查的内容。 GitHub 会为这些安全公告分配 CVE 编号。在 AI 全面普及之前，分配往往只需 2—3 天；如今却拖到了 3—4 周，因此我不得不在更新日志中注明“CVE 待分配”，这显然不太理想。

资料来源：黑客新闻

标签：开源、安全、前往、生成式人工智能、大型语言模型、编码代理、OCAML、AI-安全-研究