AI 代理加速漏洞利用：補丁討論後數分鐘即遭攻擊

劍橋大學計算機科學教授、OCaml 編譯器核心維護者 Anil Madhavapeddy 近日報告，開源項目在補丁討論後數分鐘內即出現漏洞利用嘗試。他在博客中稱，其網站發佈安全補丁討論後約十分鐘，就檢測到針對百分號編碼遍歷序列的探測，表明自動化監控工具正實時追蹤公開倉庫。此前此類攻擊通常需數天，補丁發佈週期約一至兩週。

Madhavapeddy 指出，現代編碼代理已能高效識別漏洞，僅憑漏洞的蛛絲馬跡即可定位並利用。他本人曾用自家代理演示，在 Claude 模型拒絕任務後改用 DeepSeek V4 Pro 完成類似操作。他認為，現有開源漏洞披露的禁運流程已難以適應如此快的利用速度，社區需探索新的安全協作機制。

rclone 維護者 Nick Craig-Wood 在 Hacker News 評論中證實類似情況：項目前十年僅收到約 20 份安全披露，而最近一個月超過 40 份，其中約 75% 包含需處理的有效問題。GitHub 分配 CVE 編號的週期也從過去的 2-3 天延長至 3-4 周，迫使維護者以“CVE-PENDING”標記發佈點版本。

來源：https://simonwillison.net/2026/Aug/28/just-a-rumour-of-a-bug/