devgo.cn想象这样一个场景：你是一个开源项目的维护者，深夜提交了一个修复安全漏洞的 PR（Pull Request，即代码合并请求），还没来得及发新版本，攻击者的脚本已经顺着你的提交记录摸到了漏洞入口，开始批量扫描利用。这不是科幻小说，而是剑桥大学计算机教授、OCaml 编译器核心维护者 Anil Madhavapeddy 的亲身经历。他在一篇文章里描述了整个过程：修复一个路径遍历漏洞（攻击者能通过构造特殊路径读取服务器上任意文件的安全缺陷）时，按惯例应该先私下修复、通知受影响用户、再公开发布安全公告。但这次他刚打开修复 PR 的几分钟内，就在自己的 Web 服务器日志里看到了带着相同漏洞特征的探测流量——攻击者已经自动找上门了。
传统开源安全流程依赖“披露保密期”（embargo，即在漏洞公开前的一段时间内不公开技术细节，假设这样能保护用户）。这个假设在 AI Agent 面前正在崩塌。AI Agent（能自主理解目标、拆解任务并执行操作的人工智能程序，比如基于 GPT-4 的自动化漏洞研究工具）可以只凭极少线索独立挖出漏洞。文中引用了一项研究：给 GPT-4 Agent 提供 CVE 描述（CVE，Common Vulnerabilities and Exposures，公开的漏洞编号和说明数据库），它能利用 15 个漏洞基准中的 87%，而不给描述时成功率只有 7%。也就是说，哪怕漏洞细节只在一个邮件列表提问、一个孤儿分支里的奇怪提交、或某个上下文泄漏中出现，另一个人的 Agent 就能嗅到并生成可利用的 exploit（利用程序，即能让漏洞变成实际攻击的代码）。
这意味着“bugonomics”（漏洞经济学，指漏洞披露与利用之间的成本收益关系）已经彻底不利于开源维护者。Madhavapeddy 建议，安全流程可能需要“反转”：不再是先保密再披露，而是假设信息终将泄露，把精力放在更快地出补丁和版本上。Chainguard 公司的开发者关系工程师 Adrian Mouat 的评论更尖锐：开一个修复 PR 就把项目和用户置于危险境地，攻击者能在新版本发布前就用上 exploit——用户暴露在风险中却无能为力。这甚至可能迫使项目在公开源代码之前就发布二进制版本，但那会破坏开源的基本原则。
开源社区并非只有这两位在焦虑。rclone（一个流行的开源文件同步工具）的创建者和维护者 Nick Craig-Wood 在 Hacker News 帖子中分享了自己的数据：项目前 10 年通过 GitHub 只收到约 20 个安全披露，而最近一个月就超过 40 个！即便他用 AI 工具辅助分类和修复，这仍然占据了他大量时间。QEMU（一个开源硬件虚拟化模拟器）也因自动化漏洞发现越来越快而缩短了漏洞披露保密期。
面对这个新现实，Madhavapeddy 提议了三类缓解手段：其一是私下的漏洞讨论（不在公开渠道讨论细节，降低线索暴露风险）；其二是更快的持续发布（不断出小版本，让补丁尽早到达用户）；其三是协议层面的快速缓解——这需要架构层面的改动，比如短时凭证（使用后很快失效的临时密钥）、可撤销的权限能力（能在云端远程作废的访问令牌）、以及协议级控制开关，这样在漏洞被完全修复前，可以在服务器端直接禁用或限制危险操作，而不必强制每个客户端立即升级。前两类可以在现有工作流里落地，第三类则需要重新思考系统设计。
对普通开发者有什么启发？如果你是开源项目的维护者或公司内部核心服务的主人，这篇文章带来的信号很明确：默认敌人有 AI，漏洞信息从你动手修的那一刻起就可能不再是秘密。所以，敏感漏洞的修复过程最好保持低调，不要在大仓库里直接改，必要时用私有分支；补丁发布节奏要更短更频繁，让“修复版本”和“漏洞公开”之间的窗口越小越好；长命服务要考虑引入可远程撤销的令牌或控制开关，而不是依赖所有客户端升级。同时也要做好心理准备：自动化的漏洞扫描会持续冲击你的收件箱，AI 辅助的分类和初步修复建议能帮你节省时间，但最终的人工审查仍然不可省略。
最让我意外的是，作者并不是在贩卖焦虑，而是用真实数据和亲身经历说明：开源安全已经从“比谁先知道”变成了“比谁先响应”。当攻击者的 AI 能在一堆公开线索里拼出完整漏洞利用时，保密期就是一个正在萎缩的奢侈品。与其死守秘密，不如把系统设计成默认可快速止血的样子。这个思路不只适用于开源项目，任何依赖公开代码库的团队都值得重新评估自己的漏洞响应流程。
（图片：Rust 集成加速现有代码库——这里呼应作者修复漏洞时的经验，修复本身很简单，但流程变了）
（图片：大规模异步 API 管理——呼应日志探测无处不在，漏洞信息在网络上自动流转）
（图片：DoorDash 构建 GenAI 平台——呼应 AI 工具参与漏洞研究的趋势）
（图片：保持各种语言 monorepo 主线绿色——呼应维护者应对大量安全披露时的工程压力）
（图片：超越可观测性——呼应协议级缓解和远程控制机制在 AI 时代的演进）
内容与图片版权归原作者所有 · 原文: https://www.infoq.com/news/2026/10/open-source-ai-security/?utm_campaign=infoq_content&utm_source=infoq&utm_medium=feed&utm_term=global