--- title: AI 漏洞挖掘 url: https://ftrlg.com/zh/wiki/ai-vulnerability-discovery/ lang: zh published: 2026-10-24 version: 1 summary: 语言模型和智能体自己发现程序中的漏洞，复现它们，并编写修复——也编写漏洞利用程序。发现的漏洞成倍增加，而从披露到攻击之间几乎已没有时间。 cite_as: "future.log, «AI 漏洞挖掘», https://ftrlg.com/zh/wiki/ai-vulnerability-discovery/" license: CC BY 4.0 https://creativecommons.org/licenses/by/4.0/ --- # AI 漏洞挖掘 **AI 漏洞挖掘**（英语 *AI vulnerability discovery*）是指借助[大语言模型](https://ftrlg.com/zh/wiki/large-language-model/)及基于它们的智能体，寻找程序中可被用来入侵的错误。模型像研究人员一样阅读代码，提出代码可能在哪里出问题的假设，再亲自验证——运行程序、复现崩溃——并且常常当场给出修复。同样的能力也可以用来编写漏洞利用程序（exploit），即利用漏洞的程序。 自动查找错误的技术从 1980 年代末就已存在：模糊测试（fuzzing）向程序输入随机数据，等着它崩溃。语言模型补上了模糊测试所缺的东西——对代码含义的理解。从 2024 年起，AI 系统在经过最严格检验的项目中发现漏洞，包括 SQLite、Linux 内核，2026 年又扩展到 OpenBSD；到 2026 年，发现的漏洞多到维护者请求放慢节奏，而据 Mandiant 估计，从漏洞披露到攻击的时间已变成负数：漏洞越来越常在修复发布之前就被利用。[^1][^8][^15][^16][^20] ## 历史 - **1988 年秋** 巴顿·米勒（Barton Miller，威斯康星大学）给学生布置了一项作业：向 UNIX 工具输入随机数据，看哪些会崩溃。模糊测试由此诞生；关于最初实验的报告于 1990 年发表。[^2] - **04.08.2016** DARPA 网络挑战赛（Cyber Grand Challenge）决赛：自动化系统在没有人参与的情况下互相寻找、修复和利用漏洞；ForAllSecure 公司的 Mayhem 获胜。[^3] - **01.12.2016** Google 推出 OSS-Fuzz——为开源项目提供的免费持续模糊测试。截至 2025 年 5 月，它已帮助在 1000 个项目中发现并修复了超过 1.3 万个漏洞和 5 万个其他错误。[^4][^5] - **01.11.2024** 智能体 Big Sleep（Google Project Zero 与 [Google DeepMind](https://ftrlg.com/zh/models/google-deepmind/)）在 SQLite 中发现一个可被利用的内存错误；它在进入正式版本之前、当天就被修复。Google 称，这是 AI 智能体在广泛使用的软件中发现此类此前未知的可利用漏洞的第一个公开案例。[^1] - **20.11.2024** Google 报告，借助自己编写模糊测试驱动代码的语言模型，OSS-Fuzz 发现了 26 个漏洞，其中包括 OpenSSL 中的 CVE-2024-9143。[^6] - **31.03.2025** 微软介绍了它如何借助 Security Copilot 在引导加载程序中发现 20 个漏洞：GRUB2 中 11 个，U-Boot 和 Barebox 中 9 个。[^7] - **22.05.2025** 研究人员肖恩·希兰（Sean Heelan）借助 [OpenAI](https://ftrlg.com/zh/models/openai/) 的 o3 模型，在 Linux 内核的 SMB 实现中发现漏洞 CVE-2025-37899——通过普通的模型 API，没有智能体框架，也没有工具。[^8] - **24.06.2025** 自主渗透测试系统 XBOW 登上 HackerOne 平台美国排行榜第一名：提交约 1060 份报告，其中 130 份以“已解决”关闭。[^9] - **08.08.2025** DARPA AIxCC 决赛：在 63 道题目中，AI 系统发现了 54 个预先植入的漏洞，修复了 43 个，还顺带发现了 18 个并非人为植入的真实漏洞。[^11] - **06.10.2025** Google DeepMind 推出 CodeMender——一个不仅能发现、还能修复漏洞的智能体；截至当天，开源项目已接受了它的 72 个修复。[^12] - **18.01.2026** 希兰发布了一项实验：基于 Claude Opus 4.5 和 GPT-5.2 的智能体在 6 种场景下为 QuickJS 的一个漏洞编写了 40 多个不同的漏洞利用程序；Opus 4.5 运行一次的花费约为 30 美元。[^13] - **05.02.2026** [Anthropic](https://ftrlg.com/zh/models/anthropic/) 报告，Claude Opus 4.6 在开源代码中发现了 500 多个经人工确认的高危漏洞。[^14] - **07.04.2026** Anthropic 发布 Claude Mythos Preview：测试中，该模型按指令在所有主流操作系统和浏览器中发现并利用了零日漏洞（zero-day），其中包括 OpenBSD 中一个存在了 27 年的错误。Anthropic 不打算公开提供这个模型；随之启动的是保护最关键软件的计划 Project Glasswing。[^15] - **22.05.2026** Anthropic 报告：Mythos Preview 在 1000 多个开源项目中发现了 6202 个漏洞——据模型自己的评估为高危或严重级别；在由独立公司核查的 1752 个中，90.6% 属实。部分维护者请求放慢披露节奏——他们来不及修复。[^16] - **08.10.2026** Anthropic 推出 Cyber Mission：一项保护关键基础设施的计划，为防御者提供模型和工程师，并免费扫描开源项目中的漏洞。[^17] ## 工作原理 **模糊测试。** 向程序输入数以百万计的随机或略有损坏的数据，记录哪些输入会让它崩溃。这种方法并不理解代码，主要找到的是能被“晃出来”的错误；难点在于驱动代码，即把数据送进目标函数的那部分代码。语言模型最先开始编写的正是它（OSS-Fuzz，2024）。[^4][^6] **阅读代码。** 模型拿到一段代码，像人在代码审查时那样在其中寻找错误。希兰正是这样在 Linux 内核中找到了漏洞。Big Sleep 寻找“变体”：从一个已修复的错误出发，寻找模糊测试会漏掉的类似错误。[^1][^8] **验证发现。** 为了不让人淹没在误报里，智能体自己复现崩溃：编译程序，用找到的数据运行它，有时还会写出可用的漏洞利用程序。在 XBOW，每个发现都要经过“验证器”确认——这些自动检查有的基于语言模型，有的是普通程序。[^1][^9] **修复。** 同一个智能体提出补丁并运行测试。在 AIxCC 决赛中，各系统修复了发现的 54 个漏洞中的 43 个；CodeMender 的所有修复在提交给项目之前都要经过人工审核。[^11][^12] ## 数据 **还剩多少时间来修复** | 谁、何时 | 测量内容 | 结果 | |---|---|---| | Mandiant（Google），15.10.2024[^19] | 从漏洞披露到被利用的平均时间 | 2018–2019 年为 63 天，2020 年为 44 天，2021–2022 年为 32 天，2023 年为 5 天。作者的说明：5 天是排除 15 个异常值后的平均值，包括它们则为 47 天。 | | M-Trends 2026（Mandiant），23.03.2026[^20] | 新报告中的同一时间 | 估计为负 7 天：利用通常在修复发布之前就已开始。 | | VulnCheck，21.01.2026[^21] | 在 CVE 公布当天或更早就遭到攻击的已知被利用漏洞所占比例 | 2025 年为 28.96%。 | | VulnCheck，28.07.2026[^22] | 2026 年上半年的同一指标；另外单列借助 AI 发现的漏洞 | 23.43%。在 1061 个借助 AI 发现的漏洞中，有 14 个（1.3%）被证实用于真实攻击——与全部漏洞的情况大致相当。 | **披露了多少漏洞** | 谁、何时 | 统计内容 | 结果 | |---|---|---| | 杰里·甘布林（Jerry Gamblin），01.01.2026[^24] | 全年公布的 CVE | 2025 年为 48185 个，比 2024 年（39962 个）多 20.6%。 | | Epoch AI，02.07.2026[^25] | 21 家大型机构每月公布的高危和严重级别 CVE | 2026 年 6 月约 1500 个——是 Mythos Preview 发布前单月纪录的 3.5 倍以上。 | | Google Threat Intelligence，30.09.2026[^23] | 每月披露的漏洞和被利用的漏洞 | 披露数量从 2026 年 1 月的 5045 个增至 8 月的 10740 个；被利用的漏洞从 2025 年平均每月 10.5 个增至 2026 年 1–8 月的 18 个，其中零日漏洞从每月 8 个增至 11 个。 | **模型能做到什么** | 谁、何时 | 检验内容 | 结果 | |---|---|---| | 方（Fang）等，04.2024[^26] | 基于 GPT-4 的智能体能否自行利用 15 个已披露的漏洞 | 给出 CVE 描述时成功率为 87%，不给时为 7%。 | | 希兰，05.2025[^8] | o3 在 100 次运行中有多少次能找到一个已知的 Linux 内核漏洞（CVE-2025-37778） | 在 3300 行的代码片段上找到 8 次，另有 28 次运行给出误报。在 1.2 万行代码上，100 次中只找到 1 次，但在其他运行中模型发现了一个新漏洞 CVE-2025-37899；作者统计，这项实验中有用信号与噪声之比约为 1 比 50。 | | VulnCheck，08.09.2026[^27] | Anthropic 宣布的 Project Glasswing 发现后来怎样了 | 在宣布的 26153 个发现中，已修复 202 个（0.8%），进入披露记录的有 2736 个（10.5%）。Claude 把自己 91.5% 的发现评为严重或高危，维护者的评估为 51.3%。 | > **[编辑部结论]** 修复窗口在语言模型出现之前就已在缩小：据 Mandiant，从 2018–2019 年的 63 天缩短到 2023 年的 5 天，而在 2026 年的报告中则变成“负 7 天”的估计。各份报告的方法不尽相同，Mandiant 自己也提醒注意异常值，因此这个序列只说明方向，而不是精确测量。模型带来的变化体现在披露数量上：2026 年 1 月至 8 月，每月披露数量增长了约一倍（Google），6 月的高危漏洞数量则超过此前纪录的 3.5 倍（Epoch AI）。与此同时，AI 的发现目前并不比其他漏洞更常遭到攻击——1.3%（VulnCheck），而 Glasswing 的发现中被修复的还不到百分之一。瓶颈已不在发现，而在修复。 ## 事件 ### SQLite：AI 抢在攻击者之前，2025 年 7 月 Google 报告，Big Sleep 根据其威胁情报，在 SQLite 中发现了漏洞 CVE-2025-6965，该漏洞此前“只有威胁行为者知道”，随时可能被利用。公司称，这是 AI 智能体第一次直接挫败在真实环境中利用漏洞的企图；关于攻击者本身，它没有透露细节。[^10] ### BeyondTrust：AI 的发现四天后遭到攻击，2026 年 BeyondTrust Privileged Remote Access 和 Remote Support 中的漏洞 CVE-2026-1731——无需登录即可执行命令——是由自主智能体 Hacktron AI 发现的。披露四天后，Google 观察到一个攻击团伙在利用它，随后又有五个。Google 自己把这类情况称为“早期迹象，而非已经确立的趋势”。[^23] ### PHP：窗口在发布前就已关闭，2026 年 10 月 10 月 21 日，PHP 发布紧急版本，修补了两个严重漏洞，借助它们无需身份验证即可在服务器上执行代码。这两个漏洞分别由 Calif 公司的一名研究人员（该公司按照 OpenAI 的 Patch the Planet 计划检查 PHP）、OpenAI 本身以及 Wiz 独立报告。[^18] 协调发布接连出了问题。发布前一天，CVE 编号泄露到网上；Calif 误发了一段演示可用漏洞利用程序的视频；Chainguard 则在发布前六个多小时就上传了已打好补丁的构建镜像。据 PHP Foundation 称，这段视频加快了漏洞利用程序的出现，但截至发布时，它在网上出现的漏洞利用程序中并未发现可用的。[^18] 两天后，SANS 同样写道，据了解尚无可靠的公开漏洞利用程序，而已发布的东西里有“多得难以置信的 AI 生成的——呃，垃圾”。[^34] ## 批评 **噪声。** 最初的 AI 报告大多是垃圾。2024 年，Python 软件基金会的塞思·拉森（Seth Larson）抱怨“质量极低、刷屏式、由大语言模型幻觉编造的安全报告”泛滥；2026 年 1 月，cURL 因应付不过来 AI 报告的洪流，关闭了漏洞赏金计划。详见条目“[维护者危机](https://ftrlg.com/zh/wiki/maintainer-crisis/)”。[^29][^33] **转折。** 2026 年春，抱怨变了：报告更多了，但都是真的。Linux 稳定版内核的维护者格雷格·克罗-哈特曼（Greg Kroah-Hartman）在 2026 年 3 月说，“世界变了”，所有开源项目的安全团队看到的都是同样的情况。GNOME 的迈克尔·卡坦扎罗（Michael Catanzaro）在 7 月写道：“非 AI 报告现在已经算比较少见了。”[^31][^32] 更早之前，cURL 的作者丹尼尔·斯滕贝里（Daniel Stenberg）根据约书亚·罗杰斯（Joshua Rogers）借助 AI 工具整理的清单，接受了 22 个修复。[^30] **瓶颈在修复的人。** 发现漏洞已经比修复漏洞便宜。维护者请求 Anthropic 放慢披露节奏；而据 VulnCheck 统计，Glasswing 的发现中被修复的不到百分之一，模型对严重程度的评估也高于维护者自己（91.5% 对 51.3%）。[^16][^27] **响亮的数字。** 各实验室的说法很难核实：2026 年 4 月，The Register 与 VulnCheck 一起为 Glasswing 统计 CVE：“也许 40 个，也许一个都没有”。[^28] 就连“第一”也有争议：2024 年同一个月里，OSS-Fuzz 和 Big Sleep 都把自己的发现称为第一——措辞各不相同。[^1][^6] **两用性。** 能发现并验证漏洞的模型，也能编写漏洞利用程序。希兰从自己的实验中得出结论：一个国家或团伙入侵网络的能力，很快将不再取决于黑客的数量，而取决于 token 的数量。不过 Mandiant 持谨慎态度：它并不认为 2025 年是入侵成为 AI 直接产物的一年。[^13][^20] ## 发展 大型 AI 实验室正把漏洞挖掘变成面向防御者的计划：Google 有 Big Sleep 和 CodeMender，OpenAI 有 Patch the Planet，Anthropic 有 Project Glasswing 以及免费扫描开源代码的 Cyber Mission。[^1][^12][^16][^17][^18] 开源项目则相应地修改接收报告的规则：在 GNOME，不借助 AI 发现的报告已经“算比较少见了”，卡坦扎罗表示，再围绕它们来设计流程已经没有意义。[^32] > **[编辑部结论]** 漏洞挖掘不再是稀有的手艺：机器能发现漏洞、复现漏洞并编写修复，每次运行花几十美元还能写出漏洞利用程序。目前在真实攻击中，AI 的发现并不比其他漏洞更常见（VulnCheck），Google 自己也把这类情况称为早期迹象。防御者的优势受限于修复漏洞的人：修复比发现少，而从披露到攻击的窗口本来就已变成负数。决定性的不再是谁先发现漏洞，而是漏洞能多快被堵上。 ## 信号 - 2026-03-26 — 格雷格·克罗-哈特曼: «几个月前，我们收到的是被我们称为“AI 垃圾”的东西，… 一个月前发生了一些事，世界变了。现在我们收到的是真正的报告。… 所有开源项目都有借助 AI 写出的真正报告，而且它们质量很好，是真的。» — Linux 稳定版内核的维护者，在 KubeCon Europe 上接受 The Register 采访时说 (https://ftrlg.com/zh/signals/ci46tmiv4/) - 2026-01-18 — 肖恩·希兰: «我们应该开始假定，在不远的将来，限制一个国家或团伙开发漏洞利用程序、侵入网络、提升权限并长期潜伏在这些网络中的能力的因素，将是它们在一段时间内的 token 吞吐量，而不是它们雇用的黑客数量。» — 漏洞研究人员，在博客中总结一项实验时写道：AI 智能体在该实验中编写了 40 多个漏洞利用程序 (https://ftrlg.com/zh/signals/c3gwbn3uh/) ## 参见 [PHP2Shell](https://ftrlg.com/zh/wiki/php2shell/) · [移动目标防御](https://ftrlg.com/zh/wiki/moving-target-defense/) · [维护者危机](https://ftrlg.com/zh/wiki/maintainer-crisis/) · [开源](https://ftrlg.com/zh/wiki/open-source/) · [自主 AI 智能体](https://ftrlg.com/zh/wiki/autonomous-ai-agents/) · [AI 安全](https://ftrlg.com/zh/wiki/ai-safety/) · [氛围编程](https://ftrlg.com/zh/wiki/vibe-coding/) · [大语言模型](https://ftrlg.com/zh/wiki/large-language-model/) ## 参考资料 [^1]: From Naptime to Big Sleep: Using Large Language Models To Catch Vulnerabilities In Real-World Code — Google Project Zero, 01.11.2024. [projectzero.google](https://projectzero.google/2024/10/from-naptime-to-big-sleep.html) [^2]: B. Miller. Fuzz Testing of Application Reliability — University of Wisconsin–Madison. [pages.cs.wisc.edu](https://pages.cs.wisc.edu/~bart/fuzz/) [^3]: "Mayhem" Declared Preliminary Winner of Historic Cyber Grand Challenge — DARPA, 04.08.2016. [darpa.mil](https://www.darpa.mil/news/2016/mayhem-winner-cyber-grand-challenge) [^4]: Announcing OSS-Fuzz: Continuous Fuzzing for Open Source Software — Google Security Blog, 01.12.2016. [security.googleblog.com](https://security.googleblog.com/2016/12/announcing-oss-fuzz-continuous-fuzzing.html) [^5]: OSS-Fuzz — GitHub. [github.com](https://github.com/google/oss-fuzz) [^6]: Leveling Up Fuzzing: Finding more vulnerabilities with AI — Google Security Blog, 20.11.2024. [security.googleblog.com](https://security.googleblog.com/2024/11/leveling-up-fuzzing-finding-more.html) [^7]: Analyzing open-source bootloaders: Finding vulnerabilities faster with AI — Microsoft Security Blog, 31.03.2025. [microsoft.com](https://www.microsoft.com/en-us/security/blog/2025/03/31/analyzing-open-source-bootloaders-finding-vulnerabilities-faster-with-ai/) [^8]: S. Heelan. How I used o3 to find CVE-2025-37899, a remote zeroday vulnerability in the Linux kernel's SMB implementation — 22.05.2025. [sean.heelan.io](https://sean.heelan.io/2025/05/22/how-i-used-o3-to-find-cve-2025-37899-a-remote-zeroday-vulnerability-in-the-linux-kernels-smb-implementation/) [^9]: How XBOW Ranked #1 in Autonomous Penetration Testing — XBOW, 24.06.2025. [xbow.com](https://xbow.com/blog/top-1-how-xbow-did-it/) [^10]: K. Walker. A summer of security: empowering cyber defenders with AI — Google, 15.07.2025. [blog.google](https://blog.google/technology/safety-security/cybersecurity-updates-summer-2025/) [^11]: AI Cyber Challenge marks pivotal inflection point for cyber defense — DARPA, 08.08.2025. [darpa.mil](https://www.darpa.mil/news/2025/aixcc-results) [^12]: R. A. Popa, F. Flynn. Introducing CodeMender: an AI agent for code security — Google DeepMind, 06.10.2025. [deepmind.google](https://deepmind.google/discover/blog/introducing-codemender-an-ai-agent-for-code-security/) [^13]: S. Heelan. On the Coming Industrialisation of Exploit Generation with LLMs — 18.01.2026. [sean.heelan.io](https://sean.heelan.io/2026/01/18/on-the-coming-industrialisation-of-exploit-generation-with-llms/) [^14]: LLM-discovered 0 days — Anthropic, 05.02.2026. [anthropic.com](https://www.anthropic.com/research/zero-days) [^15]: Claude Mythos Preview's cybersecurity capabilities — Anthropic, 07.04.2026. [anthropic.com](https://www.anthropic.com/research/mythos-preview) [^16]: Project Glasswing: An initial update — Anthropic, 22.05.2026. [anthropic.com](https://www.anthropic.com/research/glasswing-initial-update) [^17]: Anthropic's Cyber Mission — Anthropic, 08.10.2026. [anthropic.com](https://www.anthropic.com/news/anthropic-cyber-mission) [^18]: Today's PHP Security Release, and How We're Strengthening PHP Security — The PHP Foundation, 21.10.2026. [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) [^19]: How Low Can You Go? An Analysis of 2023 Time-to-Exploit Trends — Google Cloud (Mandiant), 15.10.2024. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/time-to-exploit-trends-2023) [^20]: M-Trends 2026: Data, Insights, and Strategies From the Frontlines — Google Cloud (Mandiant), 23.03.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/m-trends-2026) [^21]: VulnCheck State of Exploitation 2026 — VulnCheck, 21.01.2026. [vulncheck.com](https://www.vulncheck.com/blog/state-of-exploitation-2026) [^22]: VulnCheck State of Exploitation 1H-2026 — VulnCheck, 28.07.2026. [vulncheck.com](https://www.vulncheck.com/blog/state-of-exploitation-1h-2026) [^23]: Vulnerability Discovery and Exploitation Trends in the AI Era — Google Threat Intelligence Group, 30.09.2026. [cloud.google.com](https://cloud.google.com/blog/topics/threat-intelligence/vulnerability-discovery-and-exploitation-trends-in-the-ai-era) [^24]: J. Gamblin. 2025 CVE Data Review — 01.01.2026. [jerrygamblin.com](https://jerrygamblin.com/2026/01/01/2025-cve-data-review/) [^25]: L. Emberson. Disclosed CVEs: 3.5× spike after Claude Mythos — Epoch AI, 02.07.2026. [epoch.ai](https://epoch.ai/data-insights/cve-severity-spike) [^26]: R. Fang, R. Bindu, A. Gupta, D. Kang. LLM Agents can Autonomously Exploit One-day Vulnerabilities — arXiv, 11.04.2024. [arxiv.org](https://arxiv.org/abs/2404.08144) [^27]: The Anthropic Glasswing Receipts Are Starting to Trickle In — VulnCheck, 08.09.2026. [vulncheck.com](https://www.vulncheck.com/blog/anthropic-glasswing-receipts) [^28]: J. Lyons. Anthropic's Project Glasswing CVE count is still guesswork — The Register, 15.04.2026. [theregister.com](https://www.theregister.com/2026/04/15/project_glasswing_cves/) [^29]: S. Larson. New era of slop security reports for open source — 03.12.2024. [sethmlarson.dev](https://sethmlarson.dev/slop-security-reports) [^30]: D. Stenberg — Mastodon 帖子，21.09.2025. [mastodon.social](https://mastodon.social/@bagder/115241241075258997) [^31]: Linux kernel czar says AI bug reports aren't slop anymore — The Register, 26.03.2026. [theregister.com](https://theregister.com/2026/03/26/greg_kroahhartman_ai_kernel) [^32]: M. Catanzaro. Some changes to GNOME security tracking — 20.07.2026. [blogs.gnome.org](https://blogs.gnome.org/mcatanzaro/2026/07/20/some-changes-to-gnome-security-tracking/) [^33]: D. Stenberg. The end of the curl bug-bounty — 26.01.2026. [daniel.haxx.se](https://daniel.haxx.se/blog/2026/01/26/the-end-of-the-curl-bug-bounty/) [^34]: Internet Storm Center Diary 2026-10-23 — SANS ISC, 23.10.2026. [isc.sans.edu](https://isc.sans.edu/diary.html?storyid=31041) — future.log, «AI 漏洞挖掘», https://ftrlg.com/zh/wiki/ai-vulnerability-discovery/ · CC BY 4.0