开发者用 AI 批量挖出 500+ 安全漏洞,开源软件的安全防线正在被攻破-夜雨聆风

开发者用 AI 批量挖出 500+ 安全漏洞,开源软件的安全防线正在被攻破

本周六，一个匿名账号在 GitHub 上批量公开了数十个还未修复的安全漏洞。作者坦诚：所有漏洞挖掘工作都是由 AI 完成的。而这，可能只是开始。

事情的起头很普通——本周六（6 月 27 日），一个叫「exploitarium」的匿名账号开始在 GitHub 上批量发布未公开的安全漏洞，附有完整 PoC 代码。

不到 24 小时，这个仓库冲上 Hacker News 首页，拿了 855 个点赞，331 条讨论——这个热度排在当天所有帖子的第 6 名。

真正让社区炸锅的，是作者在 README 里的一段坦白：

我的整个漏洞挖掘流程都由 AI 自动化了，用的是 GPT-5.5-3-Codex-Spark。你根本不需要一个 SOTA 模型来帮你发现这些问题—— 当你的 harness 足够好时，廉价模型一样能挖。

讲白了，有人用 AI 做自动化 fuzzing，在短短 7 天内发现了 50 多个漏洞，

涉及的软件从 Ghidra、Docker、RustDesk 到 FFmpeg、c-ares、libssh2，覆盖了开源生态的至少 8 个核心组件。

[📝] 我上个月给团队搭 CI 流水线，碰到一个 nghttp2 的奇怪崩溃，排查了 2 天才发现是某个请求组合触发的边界情况。如果能用 AI fuzzing 提前扫一遍，可能十几分钟就发现了。

HN 的反应很分裂。有人认真分析了 PoC 后评价：「这些漏洞质量参差不齐，Ghidra 那个需要先能写进 Swift 工具目录——你都到这个权限了，还叫漏洞吗？」

但也有人从另一面看问题：就算 100 个里有 90 个是垃圾，剩下 10 个真实的 0-day 也足以改变局面。

传统手动漏洞挖掘需要 3-6 个月精力， AI 辅助后效率提升了一个数量级—— 一个人加 100 美元的 API 费，一周能干完以前一个团队半年的活。

还有一个更让人不安的趋势。作者说接下来每天都会发布 1 个新漏洞，涉及更严重的组件——「接下来的才是大头。」这意味着等这个账号发布完全部存货，开源社区可能需要打上百个紧急补丁。

这件事暴露出 2 个问题：

第一，软件供应链的防御侧还没有准备好对抗 AI 驱动的攻击。

传统安全团队靠人工审计和白盒测试，一个漏洞从发现到修复的平均周期是 38 天。如果攻击者用 AI 每天都能批量输出新的攻击面，防御方拿头跟？

第二，作者说了一句关键的话：「你不需要 SOTA 模型，好的 harness 加人类监督就够了。」

这意味着能把成本压到极低。 不需要花几百万买顶级模型，开源小模型加上好的 fuzzing 框架一样能出活。

当然硬币的另一面是：这些漏洞被公开后，软件维护者可以更快地收到报告和修复。 比起漏洞在黑市上被悄悄交易 6 个月才被发现，至少现在社区有机会在几周内反应。

AI 挖漏洞这件事，好的一面和坏的一面都让人睡不着觉。

好的一面是：开源软件的安全测试成本大幅降低，1 个人加 1 台机器就能扫描整个生态。坏的一面是：同样的工具，换个方向就是批量武器化的攻击。

回到最开始的那句话——「你不需要 SOTA 模型，好的 harness 就够了。」这句话对防守方成立，对攻击方同样成立。

你觉得 AI 批量挖漏洞这件事，对开发者来说是好事还是坏事？

A. 好事，AI 大幅降低安全测试门槛，倒逼开源项目更重视安全

B. 坏事，攻击者也在用，未来安全漏洞会指数级增长，防御根本跟不上

C. 双刃剑，看谁先适应——就像杀毒软件和病毒永远在赛跑

D. 不关我事，我写业务的，安全有运维扛