--- title: AI से कमज़ोरियों की खोज url: https://ftrlg.com/hi/wiki/ai-vulnerability-discovery/ lang: hi published: 2026-10-24 version: 1 summary: भाषा मॉडल और एजेंट ख़ुद प्रोग्रामों में छेद ढूँढते हैं, उन्हें दोहराकर जाँचते हैं और सुधार लिखते हैं — और एक्सप्लॉइट भी। खोजें कई गुना बढ़ गईं, और खुलासे व हमले के बीच लगभग कोई समय नहीं बचा। cite_as: "future.log, «AI से कमज़ोरियों की खोज», https://ftrlg.com/hi/wiki/ai-vulnerability-discovery/" license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/ --- # AI से कमज़ोरियों की खोज **AI से कमज़ोरियों की खोज** (अंग्रेज़ी *AI vulnerability discovery*) — प्रोग्रामों में ऐसी ग़लतियों की खोज, जिनके ज़रिए उन्हें हैक किया जा सकता है, [बड़े भाषा मॉडलों](https://ftrlg.com/hi/wiki/large-language-model/) और उन पर बने एजेंटों की मदद से। मॉडल कोड को एक शोधकर्ता की तरह पढ़ता है, अनुमान लगाता है कि वह कहाँ टूट सकता है, और ख़ुद इसे जाँचता है — प्रोग्राम चलाता है, क्रैश को दोहराता है — और अक्सर तुरंत सुधार भी सुझा देता है। यही हुनर एक्सप्लॉइट लिखने में भी काम आता है — ऐसे प्रोग्राम, जो कमज़ोरी का इस्तेमाल करते हैं। ग़लतियों की स्वचालित खोज 1980 के दशक के आख़िर से मौजूद है: फ़ज़िंग (fuzzing) प्रोग्राम को बेतरतीब डेटा देता है और उसके क्रैश होने का इंतज़ार करता है। भाषा मॉडलों ने वह जोड़ा, जो फ़ज़िंग के पास नहीं था — कोड के मतलब की समझ। 2024 से AI सिस्टम सबसे ज़्यादा जाँचे-परखे प्रोजेक्टों में कमज़ोरियाँ ढूँढ रहे हैं — SQLite और Linux कर्नेल में, और 2026 में OpenBSD में भी; 2026 तक खोजें इतनी बढ़ गईं कि मेंटेनर रफ़्तार धीमी करने को कह रहे हैं, और Mandiant के आकलन में कमज़ोरी के खुलासे और हमले के बीच का समय माइनस में चला गया: कमज़ोरी का इस्तेमाल ज़्यादा से ज़्यादा बार सुधार आने से पहले ही शुरू हो जाता है।[^1][^8][^15][^16][^20] ## इतिहास - **पतझड़ 1988** बार्टन मिलर (Barton Miller, विस्कॉन्सिन यूनिवर्सिटी) छात्रों को एक काम देते हैं: UNIX की यूटिलिटी को बेतरतीब इनपुट दो और देखो, कौन-सी क्रैश होती हैं। इसी तरह फ़ज़िंग का जन्म होता है; पहले प्रयोगों की रिपोर्ट 1990 में प्रकाशित होती है।[^2] - **04.08.2016** DARPA Cyber Grand Challenge का फ़ाइनल: स्वचालित सिस्टम इंसानों की भागीदारी के बिना एक-दूसरे की कमज़ोरियाँ ढूँढते हैं, उन्हें ठीक करते हैं और उनका इस्तेमाल करते हैं; ForAllSecure कंपनी का Mayhem जीतता है।[^3] - **01.12.2016** Google OSS-Fuzz शुरू करती है — ओपन सोर्स प्रोजेक्टों के लिए मुफ़्त और लगातार चलने वाला फ़ज़िंग। मई 2025 तक इसने 1000 प्रोजेक्टों में 13 हज़ार से ज़्यादा कमज़ोरियाँ और 50 हज़ार दूसरी ग़लतियाँ ढूँढने और ठीक करने में मदद की।[^4][^5] - **01.11.2024** एजेंट Big Sleep (Google Project Zero और [Google DeepMind](https://ftrlg.com/hi/models/google-deepmind/)) SQLite में मेमोरी से जुड़ी एक ऐसी ग़लती ढूँढता है, जिसे एक्सप्लॉइट किया जा सकता था; उसे उसी दिन, रिलीज़ में पहुँचने से पहले ठीक कर दिया गया। Google इसे पहला सार्वजनिक उदाहरण बताती है, जब किसी AI एजेंट ने व्यापक रूप से इस्तेमाल होने वाले प्रोग्राम में इस तरह की पहले से अज्ञात, एक्सप्लॉइट की जा सकने वाली कमज़ोरी ढूँढी।[^1] - **20.11.2024** Google बताती है कि भाषा मॉडलों वाले OSS-Fuzz ने, जिसमें मॉडल ख़ुद फ़ज़िंग हार्नेस लिखते हैं, 26 कमज़ोरियाँ ढूँढीं, जिनमें OpenSSL की CVE-2024-9143 भी है।[^6] - **31.03.2025** Microsoft बताती है कि उसने Security Copilot की मदद से बूटलोडरों में 20 कमज़ोरियाँ कैसे ढूँढीं: GRUB2 में 11, और U-Boot व Barebox में 9।[^7] - **22.05.2025** शोधकर्ता शॉन हीलन (Sean Heelan) [OpenAI](https://ftrlg.com/hi/models/openai/) के मॉडल o3 की मदद से Linux कर्नेल के SMB इम्प्लीमेंटेशन में कमज़ोरी CVE-2025-37899 ढूँढते हैं — मॉडल के आम API के ज़रिए, बिना किसी एजेंट वाले ढाँचे और टूल के।[^8] - **24.06.2025** स्वायत्त पेनटेस्टर XBOW, HackerOne प्लेटफ़ॉर्म की अमेरिकी रैंकिंग में पहले स्थान पर पहुँचता है: लगभग 1060 रिपोर्टें, जिनमें से 130 सुलझी हुई मानकर बंद की गईं।[^9] - **08.08.2025** DARPA AIxCC का फ़ाइनल: 63 टास्क में AI सिस्टमों ने जानबूझकर डाली गई 54 कमज़ोरियाँ ढूँढीं और 43 ठीक कीं, साथ ही 18 असली कमज़ोरियाँ भी मिलीं, जिन्हें किसी ने नहीं डाला था।[^11] - **06.10.2025** Google DeepMind CodeMender पेश करती है — ऐसा एजेंट, जो कमज़ोरियाँ सिर्फ़ ढूँढता ही नहीं, बल्कि ठीक भी करता है; इस दिन तक ओपन सोर्स प्रोजेक्टों में उसके 72 सुधार स्वीकार किए जा चुके हैं।[^12] - **18.01.2026** हीलन एक प्रयोग प्रकाशित करते हैं, जिसमें Claude Opus 4.5 और GPT-5.2 पर चलने वाले एजेंटों ने 6 परिदृश्यों में QuickJS की एक कमज़ोरी के लिए 40 से ज़्यादा अलग-अलग एक्सप्लॉइट लिखे; Opus 4.5 के एक रन की लागत लगभग $30 रही।[^13] - **05.02.2026** [Anthropic](https://ftrlg.com/hi/models/anthropic/) बताती है कि Claude Opus 4.6 ने ओपन सोर्स कोड में ऊँची गंभीरता वाली 500 से ज़्यादा कमज़ोरियाँ ढूँढीं, जिनकी जाँच इंसानों ने की।[^14] - **07.04.2026** Anthropic, Claude Mythos Preview की घोषणा करती है: परीक्षण के दौरान मॉडल ने निर्देश मिलने पर सभी प्रमुख ऑपरेटिंग सिस्टमों और ब्राउज़रों में ज़ीरो-डे कमज़ोरियाँ ढूँढीं और उन्हें एक्सप्लॉइट किया, जिनमें OpenBSD की 27 साल पुरानी एक ग़लती भी शामिल है। मॉडल को आम लोगों के लिए उपलब्ध कराने की योजना नहीं है; उसके साथ सबसे अहम सॉफ़्टवेयर की सुरक्षा का कार्यक्रम Project Glasswing शुरू किया गया।[^15] - **22.05.2026** Anthropic रिपोर्ट देती है: 1000 से ज़्यादा ओपन सोर्स प्रोजेक्टों में Mythos Preview ने 6202 कमज़ोरियाँ ढूँढीं, जो ख़ुद मॉडल के आकलन के मुताबिक़ ऊँची या क्रिटिकल गंभीरता की थीं; स्वतंत्र फ़र्मों ने जिन 1752 की जाँच की, उनमें से 90.6% असली निकलीं। कुछ मेंटेनरों ने खुलासे की रफ़्तार धीमी करने को कहा — उनके पास सुधारों के लिए समय नहीं बचता।[^16] - **08.10.2026** Anthropic, Cyber Mission शुरू करती है: अहम बुनियादी ढाँचे की सुरक्षा का कार्यक्रम, जिसमें बचाव करने वालों के लिए मॉडल और इंजीनियर हैं, साथ ही ओपन सोर्स प्रोजेक्टों में कमज़ोरियों की मुफ़्त स्कैनिंग।[^17] ## यह कैसे काम करता है **फ़ज़िंग।** प्रोग्राम को लाखों बेतरतीब या थोड़े बिगाड़े गए इनपुट दिए जाते हैं और दर्ज किया जाता है कि किन पर वह क्रैश होता है। यह तरीक़ा कोड को नहीं समझता और ज़्यादातर वही ग़लतियाँ ढूँढता है, जिन तक “झकझोरकर” पहुँचा जा सकता है; मुश्किल हिस्सा है हार्नेस, जो डेटा को सही फ़ंक्शन तक पहुँचाता है। भाषा मॉडलों ने सबसे पहले उसे ही लिखना शुरू किया (OSS-Fuzz, 2024)।[^4][^6] **कोड पढ़ना।** मॉडल को कोड का एक हिस्सा मिलता है और वह उसमें ग़लतियाँ वैसे ही ढूँढता है, जैसे इंसान कोड रिव्यू में। इसी तरह हीलन ने Linux कर्नेल में कमज़ोरी ढूँढी। Big Sleep “वेरिएंट” ढूँढता है: वह पहले से ठीक की जा चुकी ग़लती से शुरू करता है और उससे मिलती-जुलती ग़लतियाँ खोजता है, जिन्हें फ़ज़िंग चूक जाता है।[^1][^8] **खोज की जाँच।** लोगों पर झूठे अलार्मों का बोझ न डालने के लिए एजेंट ख़ुद क्रैश को दोहराता है: प्रोग्राम को बिल्ड करता है, मिले हुए डेटा के साथ उसे चलाता है, कभी-कभी काम करने वाला एक्सप्लॉइट भी लिखता है। XBOW में हर खोज की पुष्टि “वैलिडेटर” करते हैं — स्वचालित जाँचें, जिनमें से कुछ भाषा मॉडल पर चलती हैं और कुछ आम प्रोग्राम हैं।[^1][^9] **सुधार।** वही एजेंट पैच सुझाता है और टेस्ट चलाता है। AIxCC के फ़ाइनल में सिस्टमों ने मिली हुई 54 में से 43 कमज़ोरियाँ ठीक कीं; CodeMender के सभी सुधारों को प्रोजेक्टों में भेजने से पहले इंसान जाँचते हैं।[^11][^12] ## डेटा **सुधार के लिए कितना समय बचता है** | कौन और कब | क्या मापा | क्या मिला | |---|---|---| | Mandiant (Google), 15.10.2024[^19] | कमज़ोरी के खुलासे से उसके इस्तेमाल तक का औसत समय | 2018–2019 में 63 दिन, 2020 में 44, 2021–2022 में 32, 2023 में 5 दिन। लेखकों की शर्त: 5 दिन — 15 असामान्य मामलों (आउटलायर) को बाहर करने के बाद का औसत, उनके साथ — 47 दिन। | | M-Trends 2026 (Mandiant), 23.03.2026[^20] | नई रिपोर्ट में वही समय | आकलन के मुताबिक़ — माइनस 7 दिन: कमज़ोरी का इस्तेमाल आम तौर पर सुधार आने से पहले ही शुरू हो जाता है। | | VulnCheck, 21.01.2026[^21] | हमलों में इस्तेमाल हुई ज्ञात कमज़ोरियों का वह हिस्सा, जिन पर CVE प्रकाशित होने के दिन या उससे पहले हमला हुआ | 2025 में 28.96%। | | VulnCheck, 28.07.2026[^22] | 2026 की पहली छमाही के लिए वही; अलग से — AI की मदद से मिली कमज़ोरियाँ | 23.43%। AI की मदद से मिली 1061 कमज़ोरियों में से 14 (1.3%) के असली हमलों में इस्तेमाल की पुष्टि हुई — लगभग उतनी ही, जितनी सभी कमज़ोरियों में। | **कितनी कमज़ोरियों का खुलासा होता है** | कौन और कब | क्या गिना | क्या मिला | |---|---|---| | जेरी गैम्बलिन (Jerry Gamblin), 01.01.2026[^24] | साल भर में प्रकाशित CVE | 2025 में 48,185 — 2024 (39,962) से 20.6% ज़्यादा। | | Epoch AI, 02.07.2026[^25] | 21 बड़े संगठनों से हर महीने आने वाले ऊँची और क्रिटिकल गंभीरता के CVE | जून 2026 में लगभग 1500 — Mythos Preview आने से पहले के मासिक रिकॉर्ड से 3.5 गुना से भी ज़्यादा। | | Google Threat Intelligence, 30.09.2026[^23] | हर महीने खुलासा की गई और हमलों में इस्तेमाल हुई कमज़ोरियाँ | खुलासे जनवरी 2026 के 5045 से बढ़कर अगस्त में 10,740 हो गए; इस्तेमाल हुई कमज़ोरियाँ — 2025 में औसतन 10.5 प्रति माह से बढ़कर जनवरी–अगस्त 2026 में 18, ज़ीरो-डे कमज़ोरियाँ — 8 से 11 प्रति माह। | **मॉडल क्या कर सकते हैं** | कौन और कब | क्या जाँचा | क्या मिला | |---|---|---| | फ़ैंग (Fang) व अन्य, 04.2024[^26] | क्या GPT-4 पर चलने वाला एजेंट पहले से उजागर 15 कमज़ोरियों को ख़ुद एक्सप्लॉइट कर सकता है | CVE का विवरण दिया जाए तो 87%, उसके बिना — 7%। | | हीलन, 05.2025[^8] | 100 रन में o3 कितनी बार Linux कर्नेल की एक ज्ञात कमज़ोरी (CVE-2025-37778) ढूँढता है | 3.3 हज़ार लाइनों के कोड पर — 8 बार, और 28 रन में झूठे अलार्म। 12 हज़ार लाइनों पर — 100 में से 1 बार, लेकिन दूसरे रनों में मॉडल ने एक नई कमज़ोरी ढूँढी, CVE-2025-37899; इस प्रयोग में लेखक ने उपयोगी सिग्नल और शोर का अनुपात लगभग 1 और 50 गिना। | | VulnCheck, 08.09.2026[^27] | Anthropic की बताई Project Glasswing की खोजों का क्या हुआ | बताई गई 26,153 खोजों में से 202 (0.8%) ठीक की गईं, 2736 (10.5%) खुलासों के रिकॉर्ड तक पहुँचीं। Claude ने अपनी 91.5% खोजों को क्रिटिकल या ऊँची गंभीरता का माना, मेंटेनरों ने — 51.3% को। | > **[संपादकीय निष्कर्ष]** सुधार की मोहलत भाषा मॉडलों से पहले भी सिकुड़ रही थी: Mandiant के मुताबिक़, 2018–2019 के 63 दिनों से 2023 में 5 दिन तक, और 2026 की रिपोर्ट में — “माइनस 7 दिन” के आकलन तक। तरीक़े एक रिपोर्ट से दूसरी में बदलते रहते हैं, और Mandiant ख़ुद असामान्य मामलों को लेकर आगाह करती है, इसलिए यह सिलसिला एक दिशा है, सटीक माप नहीं। मॉडल क्या बदलते हैं, यह खुलासों की गिनती से दिखता है: जनवरी से अगस्त 2026 तक हर महीने के खुलासे लगभग दोगुने हो गए (Google), और जून में गंभीर कमज़ोरियाँ पिछले रिकॉर्ड से 3.5 गुना से भी ज़्यादा हो गईं (Epoch AI)। साथ ही AI की खोजों पर अभी बाक़ी कमज़ोरियों से ज़्यादा हमले नहीं होते — 1.3% (VulnCheck), और Glasswing की खोजों में से एक प्रतिशत से भी कम ठीक हुई हैं। अड़चन अब खोज नहीं, बल्कि सुधार है। ## घटनाएँ ### SQLite: AI हमलावरों से आगे निकला, जुलाई 2025 Google ने बताया कि Big Sleep ने उसकी थ्रेट इंटेलिजेंस के डेटा के आधार पर SQLite में कमज़ोरी CVE-2025-6965 ढूँढी, जो “सिर्फ़ हमलावरों को पता थी” और जिसका जल्द ही इस्तेमाल होने वाला था। कंपनी ने इसे पहला मामला बताया, जब किसी AI एजेंट ने असली माहौल में किसी कमज़ोरी को एक्सप्लॉइट करने की कोशिश को सीधे नाकाम किया; ख़ुद हमलावरों के बारे में उसने कोई ब्योरा नहीं दिया।[^10] ### BeyondTrust: AI की खोज पर चार दिन बाद हमला, 2026 BeyondTrust Privileged Remote Access और Remote Support में कमज़ोरी CVE-2026-1731 — सिस्टम में लॉग इन किए बिना कमांड चलाना — स्वायत्त एजेंट Hacktron AI ने ढूँढी। खुलासे के चार दिन बाद Google ने देखा कि हमलावरों का एक समूह इसका इस्तेमाल कर रहा है, फिर पाँच और। Google ख़ुद ऐसे मामलों को “एक शुरुआती सूचक, न कि जमा हुआ रुझान” कहती है।[^23] ### PHP: रिलीज़ से पहले ही मोहलत ख़त्म, अक्टूबर 2026 21 अक्टूबर को PHP ने आपातकालीन वर्शन जारी किए, जो दो क्रिटिकल कमज़ोरियाँ बंद करते हैं, जिनके ज़रिए बिना ऑथेंटिकेशन के सर्वर पर कोड चलाया जा सकता है। इनके बारे में एक-दूसरे से स्वतंत्र रूप से OpenAI के Patch the Planet कार्यक्रम के तहत PHP की जाँच कर रही कंपनी Calif के एक शोधकर्ता ने, ख़ुद OpenAI ने और Wiz ने सूचना दी।[^18] समन्वित रिलीज़ टुकड़ों-टुकड़ों में बिखर गई। एक दिन पहले CVE नंबर इंटरनेट पर लीक हो गए, Calif ने ग़लती से काम करते एक्सप्लॉइट का वीडियो प्रकाशित कर दिया, और Chainguard ने रिलीज़ से छह घंटे से भी ज़्यादा पहले सुधार वाली तैयार इमेजें डाल दीं। PHP Foundation के मुताबिक़, वीडियो की वजह से एक्सप्लॉइट जल्दी सामने आए, लेकिन रिलीज़ के समय तक इंटरनेट पर सामने आए एक्सप्लॉइट में उसे कोई काम करने वाला नहीं मिला।[^18] दो दिन बाद SANS ने भी लिखा कि जहाँ तक पता है, कोई भरोसेमंद सार्वजनिक एक्सप्लॉइट नहीं है, और जो डाले गए हैं, उनमें “अविश्वसनीय मात्रा में” AI का बनाया कचरा है।[^34] ## आलोचना **शोर।** शुरुआती AI रिपोर्टें ज़्यादातर कचरा थीं। 2024 में Python Software Foundation के सेथ लार्सन (Seth Larson) ने “बेहद घटिया, स्पैम जैसी और LLM की गढ़ी हुई सुरक्षा रिपोर्टों” की बाढ़ की शिकायत की, और cURL ने जनवरी 2026 में AI रिपोर्टों की बाढ़ न सँभाल पाने पर अपना बग बाउंटी कार्यक्रम बंद कर दिया। ज़्यादा जानकारी — “[मेंटेनर संकट](https://ftrlg.com/hi/wiki/maintainer-crisis/)” लेख में।[^29][^33] **मोड़।** 2026 के वसंत में शिकायतें बदल गईं: रिपोर्टें और बढ़ गईं, लेकिन अब वे असली हैं। Linux के स्थिर कर्नेल के मेंटेनर ग्रेग क्रोआ-हार्टमैन (Greg Kroah-Hartman) ने मार्च 2026 में कहा कि “दुनिया पलट गई” और ओपन सोर्स प्रोजेक्टों की सभी सुरक्षा टीमें यही देख रही हैं। GNOME के माइकल कैटानज़ारो (Michael Catanzaro) ने जुलाई में लिखा कि बिना AI के मिली रिपोर्टें अब “कुछ हद तक असामान्य” हैं।[^31][^32] इससे भी पहले cURL के लेखक डेनियल स्टेनबर्ग (Daniel Stenberg) ने उस सूची के आधार पर 22 सुधार स्वीकार किए, जिसे जोशुआ रॉजर्स (Joshua Rogers) ने AI टूल की मदद से तैयार किया था।[^30] **अड़चन — ठीक करने वाले लोग।** ढूँढना ठीक करने से सस्ता हो गया है। मेंटेनरों ने Anthropic से खुलासे की रफ़्तार धीमी करने को कहा, VulnCheck की गिनती के मुताबिक़ Glasswing की खोजों में से एक प्रतिशत से भी कम ठीक हुई हैं, और मॉडल गंभीरता को ख़ुद मेंटेनरों से ऊँचा आँकता है (91.5% बनाम 51.3%)।[^16][^27] **बड़े-बड़े आँकड़े।** AI लैब के दावों को जाँचना मुश्किल है: अप्रैल 2026 में The Register ने VulnCheck के साथ मिलकर Glasswing के खाते में CVE गिने, और नतीजा निकला: “शायद 40। या शायद एक भी नहीं”।[^28] यहाँ तक कि “पहले होने” का दावा भी विवादित है: OSS-Fuzz और Big Sleep ने 2024 के एक ही महीने में अपनी-अपनी खोजों को पहला बताया — अलग-अलग शब्दों में।[^1][^6] **दोहरा इस्तेमाल।** जो मॉडल कमज़ोरी ढूँढता और जाँचता है, वही एक्सप्लॉइट भी लिखता है। हीलन अपने प्रयोग से यह निष्कर्ष निकालते हैं कि किसी देश या समूह की नेटवर्क हैक करने की क्षमता जल्द ही हैकरों की संख्या से नहीं, बल्कि टोकनों की संख्या से सीमित होगी। वहीं Mandiant सावधान है: वह 2025 को ऐसा साल नहीं मानती, जब सेंधमारी सीधे AI का नतीजा बन गई।[^13][^20] ## आगे का विकास बड़ी AI लैब कमज़ोरियों की खोज को बचाव करने वालों के कार्यक्रमों में बदल रही हैं: Google — Big Sleep और CodeMender, OpenAI — Patch the Planet, Anthropic — Project Glasswing और ओपन सोर्स कोड की मुफ़्त स्कैनिंग वाला Cyber Mission।[^1][^12][^16][^17][^18] जवाब में ओपन सोर्स प्रोजेक्ट रिपोर्टें लेने के नियम बदल रहे हैं: GNOME में बिना AI के मिली रिपोर्टें अब “कुछ हद तक असामान्य” हैं, और कैटानज़ारो के शब्दों में, अब उन्हें ध्यान में रखकर प्रक्रिया बनाने का कोई मतलब नहीं है।[^32] > **[संपादकीय निष्कर्ष]** कमज़ोरियों की खोज अब कोई दुर्लभ हुनर नहीं रही: मशीन ढूँढती है, दोहराकर जाँचती है और सुधार लिखती है, और एक रन के कुछ दसियों डॉलर में — एक्सप्लॉइट भी। असली हमलों में AI की खोजें अभी बाक़ी कमज़ोरियों से ज़्यादा नहीं दिखतीं (VulnCheck), और ख़ुद Google ऐसे मामलों को शुरुआती सूचक कहती है। बचाव करने वालों का फ़ायदा उन लोगों पर टिका है, जो ठीक करते हैं: सुधार खोजों से कम हैं, और खुलासे व हमले के बीच की मोहलत पहले ही माइनस में जा चुकी है। निर्णायक यह नहीं रहा कि कमज़ोरी कौन ढूँढेगा, बल्कि यह कि उसे कितनी जल्दी बंद किया जाएगा। ## संकेत - 2026-03-26 — ग्रेग क्रोआ-हार्टमैन: «कुछ महीने पहले तक हमारे पास वह आता था, जिसे हम “AI स्लॉप” कहते थे, … एक महीने पहले कुछ हुआ, और दुनिया पलट गई। अब हमारे पास असली रिपोर्टें आती हैं। … सभी ओपन सोर्स प्रोजेक्टों के पास AI की मदद से बनी असली रिपोर्टें हैं, लेकिन वे अच्छी हैं, और वे असली हैं।» — Linux के स्थिर कर्नेल के मेंटेनर, KubeCon Europe में The Register को दिए इंटरव्यू में (https://ftrlg.com/hi/signals/ci46tmiv4/) - 2026-01-18 — शॉन हीलन: «हमें यह मानकर चलना शुरू कर देना चाहिए कि निकट भविष्य में किसी देश या समूह की एक्सप्लॉइट बनाने, नेटवर्क में सेंध लगाने, अपने अधिकार बढ़ाने और उन नेटवर्क में टिके रहने की क्षमता को सीमित करने वाली चीज़ समय के साथ उनका टोकन थ्रूपुट होगी, न कि उनके यहाँ काम करने वाले हैकरों की संख्या।» — कमज़ोरियों के शोधकर्ता, अपने ब्लॉग में — उस प्रयोग के नतीजों पर, जिसमें AI एजेंटों ने 40 से ज़्यादा एक्सप्लॉइट लिखे (https://ftrlg.com/hi/signals/c3gwbn3uh/) ## यह भी देखें [PHP2Shell](https://ftrlg.com/hi/wiki/php2shell/) · [तरल कोड](https://ftrlg.com/hi/wiki/moving-target-defense/) · [मेंटेनर संकट](https://ftrlg.com/hi/wiki/maintainer-crisis/) · [ओपन सोर्स](https://ftrlg.com/hi/wiki/open-source/) · [स्वायत्त AI एजेंट](https://ftrlg.com/hi/wiki/autonomous-ai-agents/) · [AI सुरक्षा](https://ftrlg.com/hi/wiki/ai-safety/) · [वाइब कोडिंग](https://ftrlg.com/hi/wiki/vibe-coding/) · [बड़ा भाषा मॉडल](https://ftrlg.com/hi/wiki/large-language-model/) ## संदर्भ [^1]: From Naptime to Big Sleep: Using Large Language Models To Catch Vulnerabilities In Real-World Code — Google Project Zero, 01.11.2024. [projectzero.google](https://projectzero.google/2024/10/from-naptime-to-big-sleep.html) [^2]: B. Miller. Fuzz Testing of Application Reliability — University of Wisconsin–Madison. [pages.cs.wisc.edu](https://pages.cs.wisc.edu/~bart/fuzz/) [^3]: "Mayhem" Declared Preliminary Winner of Historic Cyber Grand Challenge — DARPA, 04.08.2016. [darpa.mil](https://www.darpa.mil/news/2016/mayhem-winner-cyber-grand-challenge) [^4]: Announcing OSS-Fuzz: Continuous Fuzzing for Open Source Software — Google Security Blog, 01.12.2016. [security.googleblog.com](https://security.googleblog.com/2016/12/announcing-oss-fuzz-continuous-fuzzing.html) [^5]: OSS-Fuzz — GitHub. [github.com](https://github.com/google/oss-fuzz) [^6]: Leveling Up Fuzzing: Finding more vulnerabilities with AI — Google Security Blog, 20.11.2024. [security.googleblog.com](https://security.googleblog.com/2024/11/leveling-up-fuzzing-finding-more.html) [^7]: Analyzing open-source bootloaders: Finding vulnerabilities faster with AI — Microsoft Security Blog, 31.03.2025. [microsoft.com](https://www.microsoft.com/en-us/security/blog/2025/03/31/analyzing-open-source-bootloaders-finding-vulnerabilities-faster-with-ai/) [^8]: S. Heelan. How I used o3 to find CVE-2025-37899, a remote zeroday vulnerability in the Linux kernel's SMB implementation — 22.05.2025. [sean.heelan.io](https://sean.heelan.io/2025/05/22/how-i-used-o3-to-find-cve-2025-37899-a-remote-zeroday-vulnerability-in-the-linux-kernels-smb-implementation/) [^9]: How XBOW Ranked #1 in Autonomous Penetration Testing — XBOW, 24.06.2025. [xbow.com](https://xbow.com/blog/top-1-how-xbow-did-it/) [^10]: K. Walker. A summer of security: empowering cyber defenders with AI — Google, 15.07.2025. [blog.google](https://blog.google/technology/safety-security/cybersecurity-updates-summer-2025/) [^11]: AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. [darpa.mil](https://www.darpa.mil/news/2025/aixcc-results) [^12]: R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. [deepmind.google](https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/) [^13]: S. Heelan. On the Coming Industrialisation of Exploit Generation with LLMs — 18.01.2026. [sean.heelan.io](https://sean.heelan.io/2026/01/18/on-the-coming-industrialisation-of-exploit-generation-with-llms/) [^14]: LLM-discovered 0 days — Anthropic, 05.02.2026. [anthropic.com](https://www.anthropic.com/research/zero-days) [^15]: Claude Mythos Preview's cybersecurity capabilities — Anthropic, 07.04.2026. [anthropic.com](https://www.anthropic.com/research/mythos-preview) [^16]: Project Glasswing: An initial update — Anthropic, 22.05.2026. [anthropic.com](https://www.anthropic.com/research/glasswing-initial-update) [^17]: Anthropic's Cyber Mission — Anthropic, 08.10.2026. [anthropic.com](https://www.anthropic.com/news/anthropic-cyber-mission) [^18]: Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation, 21.10.2026. [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) [^19]: How Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends — Google Cloud (Mandiant), 15.10.2024. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023) [^20]: M-Trends 2026: Data, Insights, and Strategies From the Frontlines — Google Cloud (Mandiant), 23.03.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026) [^21]: VulnCheck State of Exploitation 2026 — VulnCheck, 21.01.2026. [vulncheck.com](https://www.vulncheck.com/blog/state-of-exploitation-2026) [^22]: VulnCheck State of Exploitation 1H-2026 — VulnCheck, 28.07.2026. [vulncheck.com](https://www.vulncheck.com/blog/state-of-exploitation-1h-2026) [^23]: Vulnerability Discovery and Exploitation Trends in the AI Era — Google Threat Intelligence Group, 30.09.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/vulnerability-discovery-and-exploitation-trends-in-the-ai-era) [^24]: J. Gamblin. 2025 CVE Data Review — 01.01.2026. [jerrygamblin.com](https://jerrygamblin.com/2026/01/01/2025-cve-data-review/) [^25]: L. Emberson. Disclosed CVEs: 3.5× spike after Claude Mythos — Epoch AI, 02.07.2026. [epoch.ai](https://epoch.ai/data-insights/cve-severity-spike) [^26]: R. Fang, R. Bindu, A. Gupta, D. Kang. LLM Agents can Autonomously Exploit One-day Vulnerabilities — arXiv, 11.04.2024. [arxiv.org](https://arxiv.org/abs/2404.08144) [^27]: The Anthropic Glasswing Receipts Are Starting to Trickle In — VulnCheck, 08.09.2026. [vulncheck.com](https://www.vulncheck.com/blog/anthropic-glasswing-receipts) [^28]: J. Lyons. Anthropic's Project Glasswing CVE count is still guesswork — The Register, 15.04.2026. [theregister.com](https://www.theregister.com/2026/04/15/project_glasswing_cves/) [^29]: S. Larson. New era of slop security reports for open source — 03.12.2024. [sethmlarson.dev](https://sethmlarson.dev/slop-security-reports) [^30]: D. Stenberg — Mastodon, 21.09.2025 की पोस्ट. [mastodon.social](https://mastodon.social/@bagder/115241241075258997) [^31]: Linux kernel czar says AI bug reports aren't slop anymore — The Register, 26.03.2026. [theregister.com](https://theregister.com/2026/03/26/greg_kroahhartman_ai_kernel) [^32]: M. Catanzaro. Some changes to GNOME security tracking — 20.07.2026. [blogs.gnome.org](https://blogs.gnome.org/mcatanzaro/2026/07/20/some-changes-to-gnome-security-tracking/) [^33]: D. Stenberg. The end of the curl bug-bounty — 26.01.2026. [daniel.haxx.se](https://daniel.haxx.se/blog/2026/01/26/the-end-of-the-curl-bug-bounty/) [^34]: Internet Storm Center Diary 2026-10-23 — SANS ISC, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary.html?storyid=31041) — future.log, «AI से कमज़ोरियों की खोज», https://ftrlg.com/hi/wiki/ai-vulnerability-discovery/ · CC BY 4.0