cve

Ian Goodfellow 强调了 AISLE 第一年的成果：一个 AI 安全研究实验室在 100 多个开源代码库中发现了 500 多个带有 CVE 的零日漏洞，其表现即使与前沿 AI 实验室相比也不遑多让——而且使用的是小巧、廉价且快速的模型。核心洞察在于：围绕大语言模型构建的系统与模型本身同样重要。

Stanislav Fort的AI安全研究实验室AISLE声称，在一年内于100多个代码库中发现了500多个零日漏洞并获得CVE编号，约占2026年全球开源CVE总量的1%，同时在curl等防护严密的代码库上的零日漏洞发现能力可媲美甚至超越顶尖AI实验室。

# AI 批量代码审查使 Linux 内核新漏洞数量骤降 作者通过追踪 Linux 内核 CVE 修复数据发现，在引入 AI 批量代码审查之后，新增漏洞数量出现断崖式下降——**周发布量从 600+ 降到 1**。 ## 主要发现 - 长期以来，Linux 内核每周新增 CVE 数量稳定在 600 例以上 - 在 AI 辅助的大规模代码审查介入后，这一数字降至个位数 - 该趋势表明，自动化审查在规模化发现潜在缺陷方面具有显著效果 ## 深层影响 ### 软件安全格局的转变 如果 AI 能够系统性地清扫出绝大多数低垂果实式的漏洞，那么依赖"挖洞—卖洞"的传统安全商业模式将面临根本性冲击。 ### 情报机构囤积漏洞 各国情报机构长期通过收购和囤积零日漏洞来维持网络行动能力。当漏洞变得稀缺，这种囤积策略的成本和可持续性都会受到质疑。 ### Windows 升级模式的冲击 微软以"安全更新"为核心驱动力推动用户升级 Windows 版本。一旦漏洞大幅减少、旧版本不再构成显著风险，用户升级新系统的动力可能显著减弱，从而动摇整个产品迭代周期。 ## 结论 Linux 内核的案例或许只是开始：**当 AI 把漏洞发现变成一种廉价的、可无限扩展的劳动，软件安全的经济基础和地缘政治逻辑都将被重新定义。**

curl 8.23.0 修复了一个严重的 Use-After-Free 漏洞 (CVE-2026-92392)。该漏洞源于 HTTP/2 上传过程中残留的 easy handle 悬垂指针，在特定条件下可被利用实现远程代码执行。

Telegram Desktop中披露了一个安全漏洞，攻击者可利用该漏洞窃取任意用户的文件。该漏洞影响桌面客户端用户，属于严重的数据泄露风险。

curl 8.23.0 将于 2026 年 10 月 14 日提前发布，以修复一个高危漏洞（CVE-2026-92392）以及另外 21 个较不严重的安全缺陷。

Greg Kroah-Hartman 在演讲中逐条拆解 Anthropic（Mythos 工具）宣称发现的 79 个内核 bug，指出真正有价值的修复仅约 10 个，相当于一小时的内核开发工作；他认为当前真正的问题不是软件本身，而是补丁没有被及时部署。

Debian 发布了安全公告 DSA-6528-1，针对其 Linux 内核软件包，公开并修补了大量涵盖 2024 年至 2026 年的 CVE 漏洞。此次更新修复了众多内核漏洞，建议用户及时应用该安全修复。

Debian 安全维护者 Samuel Henrique 将 rsync 升级到 3.5.0，而不是回移补丁来修复 33 个 CVE，此举引入了行为变更，包括更严格的符号链接处理、更严格的 rsyncd 访问控制，以及 rsync-ssl 中的证书验证。

本文详细介绍了CVE-2025-39964的发现和披露过程，这是Linux内核AF_ALG功能中的一个权限提升漏洞，允许获取root权限，并且在Copy Fail漏洞之前被发现，通过Google的kernelCTF项目获得了$113,337的奖励。

四个长期存在的Linux内核漏洞—DirtyAH6、PPPoEject、TUNderflow和DiagSpill—被披露，允许本地提权并具有潜在远程影响，且修复已在稳定内核版本中发布。

黑客对Flock ALPR摄像头进行了逆向工程，揭示了多个安全漏洞，包括过时的Android版本和硬编码凭据，这对数据隐私和监控系统构成了重大风险。

curl 项目描述了其 CVE 分配过程，并报告了与一名记者的争议，该争议涉及一个被认为过于轻微而不适合 CVE 的漏洞，最终升级到 MITRE。

这篇文章报道了 CVE-2026-82329，这是 JFrog 的 Artifactory 中的一个关键认证绕过漏洞，CVSS 评分为 9.8，并推测 AI 代理可能已经发现并利用了它，敦促采取自主防御措施。

这篇文章强调了像Mythos这样的AI模型在网络安全中的重要作用，揭示了Oracle关键漏洞的激增，并详细介绍了Anthropic和OpenAI的AI驱动发现工作。

Echo 和 NanoClaw 合作，通过扫描、修补和反向移植修复，消除了 NanoClaw 容器镜像中的 1,400 个 CVE。文章详细介绍了他们的代理式加固流程，包括安全版本升级和手动补丁研究。

一位家庭实验室所有者详细描述了他们的Forgejo实例如何通过CVE-2026-60004（Gitea中的一个RCE漏洞）被入侵，并分享了事后剖析，包括所犯错误和漏洞利用分析。

腾讯的Corvus AI研究流水线发现了一个名为SCTPhantom的漏洞，这是Linux SCTP动态地址重配置（ASCONF）中一个存在18年的释放后使用漏洞，可导致本地权限提升。文章详细介绍了该漏洞的发现过程、根本原因、利用链以及上游修复。

该推文报告称，严重网络漏洞披露数量急剧攀升，7月有21家主要科技组织发布了约2500个高危和严重级别的CVE——大约是此前月度记录的5倍——此前Anthropic透露Claude Mythos Preview可以自主发现软件漏洞。

JFrog研究人员揭穿了一个可疑GitHub仓库发布的一批SQLite CVE，发现这些公告很可能是LLM生成的劣质内容，其中包含不存在的代码引用和无法工作的PoC，促使NVD对漏洞进行降级处理。