AI 编程工具已能在漏洞谣言出现数分钟内自动利用

28th August 2026 - Link Blog

仅仅是一个 bug 的传闻，就足以让人找到安全漏洞——如今这已不是夸张（via）。Anil Madhavapeddy 是剑桥大学的计算机科学教授，也是 OCaml 编译器的主力维护者之一。在这篇文章中，他报告了一个颇为令人警觉的现象：OCaml 项目中的安全问题，在补丁公开讨论后几分钟内就会出现被尝试利用的迹象。

通常这个过程需要几天，补丁发布后一两周内出现利用尝试也属正常。但这一次，网站在约十分钟内就开始收到 percent-encoded 路径遍历序列的探测流量。这说明自动化监控程序正在盯着公开代码仓库。

现代编码 Agent 查找缺陷的能力已经强到只需要一个新 bug 的丝毫线索，就足以顺藤摸瓜找到漏洞。Anil 借助自己的 Agent 验证了这一点——当 Claude Fable 拒绝执行任务时，他换用 DeepSeek V4 Pro⁠ 完成了演示。

Anil 指出，这种发现速度与现有的开源项目安全问题「禁运披露」实践已经不相容。如果一个问题可以在如此短的时间内被利用，我们需要为保护社区安全想出新的流程。

rclone 的维护者 Nick Craig-Wood 在 Hacker News 评论中确认，他的项目也正在经历同样的问题：

在 rclone 项目的前十年，我们通过 GitHub 收到大约 20 份安全漏洞披露。过去一个月我们处理了超过 40 份！这占用了我大量时间，即便用 AI 工具来做分类和生成修复方案供人工审查。

这些安全披露的命中率相当可观——约 75% 的报告都包含值得进一步查看的内容。[...]

GitHub 为这些安全公告分配 CVE 编号。以前在「AI 末日」之前，CVE 分配需要 2-3 天，但现在要 3-4 周。所以我不得不在更新日志中用 CVE-PENDING 标记来发布小版本，这不是理想状态。

Conceptual integrity and counting lines of code - 19th August 2026

Qwen 3.8 27B is excellent, but it defaults to wildly overthinking things - 16th August 2026

现在我们有了 OpenAI 意外攻击 Hugging Face 的时间线 - 7th August 2026

这是 Simon Willison 的链接帖，发布于 2026 年 8 月 28 日。

Sponsor me for $10/month and get a curated email digest of the month's most important LLM developments.

Pay me to send you less!