一个人工智能代理在FFmpeg中发现21个零日漏洞，仅花费1000美元——其中一个可通过单个183字节数据包实现网络可达的远程代码执行

Reddit r/AI_Agents 新闻
ai-security vulnerability-discovery ffmpeg zero-day autonomous-agents security-research

摘要

来自depthfirst的自主AI代理在FFmpeg中发现了21个零日漏洞，其中包括一个可通过单个183字节数据包实现的网络可达远程代码执行漏洞，仅花费1000美元的计算成本；这一发现凸显了自动化漏洞发现与漏洞修复之间的差距。

一家名为depthfirst的安全初创公司部署了一个自主AI代理，针对FFmpeg约150万行C代码。结果：确认了21个零日漏洞——其中包括AV1 RTP解包器中的一个堆栈溢出漏洞，该漏洞是一个可通过RTSP上的单个183字节RTP数据包利用的网络可达远程代码执行漏洞。其经济性令人震惊：• 成本：约1000美元云计算 • 人工审计等效成本：20万至50万美元 • 一个漏洞已有23年历史——引入于2003年 • 目前已分配9个CVE编号（CVE-2026-39210至CVE-2026-39218）但真正的问题是：来自Anthropic的Project Glasswing的漏洞中只有6%已被修补。我们已经实现了漏洞发现的自动化——但修复漏洞尚未自动化。
查看原文

相似文章

他们发现的所有安全漏洞

Hacker News Top

本文详细介绍了AI代理在Epsilon（一个用Go编写的小型WASM运行时）中发现的超过20个安全漏洞，其中包括多个沙箱逃逸漏洞，允许恶意模块突破隔离。

零日漏洞的倒计时

Lobsters Hottest

Mozilla 利用 Anthropic 的 Claude Mythos Preview AI，在 Firefox 150 中找出并修复了 271 个零日漏洞，标志着网络安全格局的重大转变：AI 让防御者首次能够彻底甩开攻击者。

数百万AI代理因开源包中的严重漏洞而面临风险

Ars Technica

开源ASGI框架Starlette中的一个严重漏洞（CVE-2026-48710，名为BadHost）使数百万AI代理和服务器面临数据被盗和凭证泄露的风险，影响了FastAPI、vLLM和LiteLLM等框架。该漏洞已在Starlette 1.0.1中修复，利用起来非常简单，凸显了AI工具生态系统中的风险。