研究者称 AI 智能体几分钟内即可据 CVE 描述生成漏洞利用

剑桥大学计算机科学教授、OCaml 编译器核心维护者 Anil Madhavapeddy 发表文章称，AI 智能体可以利用公开渠道中有关软件漏洞的线索，生成可实际运行的漏洞利用程序，从而削弱开源项目传统漏洞披露禁令的有效性。他介绍自己修复一个路径遍历漏洞的经历：补丁本身并不复杂，按以往安全流程，通常会私下修复、通知受影响用户，再发布公开安全公告；但这次在提交修复该问题的 PR 后仅仅几分钟，线上 Web 服务器日志中就出现了与这个漏洞模式完全一致的探测请求。

他援引一项研究称，在获得 CVE 描述后，一个 GPT-4 智能体成功利用了包含 15 个漏洞的基准测试中 87% 的漏洞；没有 CVE 描述时，这一比例只有 7%。Madhavapeddy 认为，如今的“漏洞经济学”已经对开源软件维护者不利，只要有一个人在搜索某类漏洞，就可能表现为邮件列表中的一个问题或孤立分支上的动作。

他由此主张，开源安全流程需要在某种程度上反过来，从依赖保密转向加快补丁发布与协议层缓解，补丁开发和版本发布流程必须进一步提速。目前此事停在他发表上述文章与主张这一步，材料未提及相关方回应或后续动作。