研究者稱 AI 智慧體幾分鐘內即可據 CVE 描述生成漏洞利用

劍橋大學電腦科學教授、OCaml 編譯器核心維護者 Anil Madhavapeddy 發表文章稱，AI 智慧體可以利用公開渠道中有關軟體漏洞的線索，生成可實際執行的漏洞利用程式，從而削弱開源專案傳統漏洞披露禁令的有效性。他介紹自己修復一個路徑遍歷漏洞的經歷：補丁本身並不複雜，按以往安全流程，通常會私下修復、通知受影響使用者，再發布公開安全公告；但這次在提交修復該問題的 PR 後僅僅幾分鐘，線上 Web 伺服器日誌中就出現了與這個漏洞模式完全一致的探測請求。

他援引一項研究稱，在獲得 CVE 描述後，一個 GPT-4 智慧體成功利用了包含 15 個漏洞的基準測試中 87% 的漏洞；沒有 CVE 描述時，這一比例只有 7%。Madhavapeddy 認為，如今的“漏洞經濟學”已經對開源軟體維護者不利，只要有一個人在搜尋某類漏洞，就可能表現為郵件列表中的一個問題或孤立分支上的動作。

他由此主張，開源安全流程需要在某種程度上反過來，從依賴保密轉向加快補丁釋出與協議層緩解，補丁開發和版本釋出流程必須進一步提速。目前此事停在他發表上述文章與主張這一步，材料未提及相關方回應或後續動作。