从 1 条内容中筛选出 1 条重要资讯。
科技新闻
- 仅凭漏洞传闻，AI 代理数分钟内即可尝试利用 ⭐️ 7.0/10
科技新闻
仅凭漏洞传闻，AI 代理数分钟内即可尝试利用 ⭐️ 7.0/10
Simon Willison 转述剑桥大学计算机科学教授、OCaml 编译器核心维护者 Anil Madhavapeddy 的观察：OCaml 项目安全补丁在公开仓库分享后约十分钟内，就出现针对百分号编码路径遍历序列的探测，显示自动化 watcher 在监控公开仓库。现代编码代理已能凭漏洞传闻快速定位并尝试利用；Anil 用自己的代理复现，并在 Claude Fable 拒绝任务后改用 DeepSeek V4 Pro。rclone 维护者 Nick Craig-Wood 在 Hacker News 证实类似情况：项目前十年收到约 20 份安全披露，最近一个月超过 40 份，约 75% 含需处理的问题。GitHub 的 CVE 分配从 2-3 天延迟到 3-4 周，导致点版本发布时只能标注 CVE-PENDING。Anil 认为这种发现速度与现有开源 embargo 流程不相容，需要新机制保护社区。
rss · Simon Willison · 8月28日 22:12
「背景」 开源项目通常通过私有披露或 embargo 流程在修复发布前限制漏洞信息传播，以降低被利用风险。过去从补丁讨论到实际利用尝试通常需要数天，而 AI 编码代理让攻击者或自动化系统能更快分析公开代码和补丁，使“漏洞传闻”本身成为可利用信号。
「影响」 开源维护者正面临安全披露激增、CVE 分配延迟和补丁讨论即遭自动化探测的现实，必须重新设计漏洞披露与发布流程以降低风险。
标签: #AI security, #software engineering, #open source, #vulnerability exploitation, #OCaml