如今，仅凭一个漏洞传闻就足以发现安全漏洞
Just a rumour of a bug is enough to find a security exploit these days
剑桥大学计算机科学教授、OCaml核心维护者Anil Madhavapeddy报告，OCaml项目在补丁分享后约十分钟即遭针对百分号编码遍历序列的探测，显示自动化监控者正密切跟踪公共仓库。他演示了编码代理发现缺陷的效率，当Claude Fable拒绝任务时切换至DeepSeek V4 Pro。rclone维护者Nick Craig-Wood证实，该项目上月收到超40份安全披露，此前10年约20份，约75%含有效信息。GitHub CVE分配时间从2-3天延长至3-4周，导致发布需带CVE-PENDING状态。
如今，仅仅一个关于bug的传闻就足以引发安全漏洞的利用。Anil Madhavapeddy是剑桥大学的计算机科学教授，也是OCaml编译器的核心维护者。在这篇略显警示性的帖子中，他报告称，OCaml项目中的安全问题在补丁被分享讨论后的几分钟内就出现了被尝试利用的迹象：这通常需要几天时间，而在一两周内发布补丁是合理的。然而，大约十分钟（！）内，这个网站就收到了针对百分号编码遍历序列的探测，表明有自动化监控者在密切关注公共仓库。现代编码代理在发现缺陷方面已经变得如此高效，以至于对新bug的丝毫暗示就足以让它们找到问题，Anil通过自己的代理演示了这一点，当Claude Fable拒绝任务时，他切换到了DeepSeek V4 Pro。Anil指出，这种发现速度似乎与现有的开源问题禁运实践不相容。如果一个问题能如此迅速地变成漏洞利用，我们需要制定新的流程来保护社区安全。rclone维护者Nick Craig-Wood在Hacker News评论中证实，他的项目也遇到了这个问题：在rclone项目的头10年里，我们通过GitHub收到了大约20份安全披露。而就在上个月，我们不得不处理超过40份！这耗费了我大量时间，即使使用AI工具进行分类和提出修复建议以供审查。这些安全披露的命中率相当高——大约75%的内容包含需要关注的有价值信息。[...] GitHub为这些公告分配CVE编号。在AI“末日”之前，分配需要2-3天，但现在需要3-4周，所以我不得不带着CVE-PENDING状态发布点版本，这并不理想。来源：Hacker News 标签：开源、安全、人工智能、生成式AI、大语言模型、编码代理、OCaml、AI安全研究