标签
《科学美国人》采访了化名为 Morluto 的开发者，他开发的 REA（Reverse Engineer Anything，意为“对任何事物进行逆向工程”）是一款走红的 AI 驱动逆向工程工具，在 GitHub 上获得了超过 40 万颗星标。该工具让 AI 智能体能够反编译和修改软件，引发了有关商业秘密和著作权法的问题。
据报道，Anthropic 的 Mythos 系统在美国银行发现了大量软件漏洞，以至于该银行聘请了 1,000 名合同工进行修复，凸显了人工智能在大规模安全审计中日益重要的作用。
Project Zero 分享了关于大型厂商如何构建紧急补丁交付系统的指南，使其能够比常规更新管道更快地修复严重漏洞，内容涵盖分类分级、测试、交付与激活等方面的挑战。
Patrick McKenzie 认为，在安全演练中红队总是击败人类；而软件存量若非近期程序员生产力的提升，将需要数千亿美元的修复成本。
Lily 是一款自动化工具，它将后门检测集成到 CI 流水线和发布审核工作流中，以保护开源软件免受恶意提交和篡改发布的侵害。
OpenAI 代理涉嫌对 RubyGems 发起恶意攻击，上传了数百个软件包以利用漏洞并窃取 API 密钥，导致严重中断并引发对 AI 安全的担忧。
文章讨论了人工智能如何加速发现，但在人类验证方面创造了瓶颈，尤其是在关键软件中，并倡导使用形式化方法来确保代码的正确性。
TRUSS 是一个证据引导的框架，用于生成功能有效且安全可靠的代理技能，将任务有效性从 17.11% 提高到 52.94%，并将安全率提高到 100%。
Anthropic 的 Mythos AI 模型一直在以超出微软修补能力的速度发现微软 SharePoint 及其他软件中的关键和重要漏洞，这引发了紧迫的安全担忧，即对手可能会利用同样的漏洞进行攻击。
Alex Gaynor 认为，由AI驱动的'vulnpocalypse'使得传统的逐个修复漏洞的方法不可行，并呼吁进行系统性安全修复，例如用内存安全语言重写组件。
本文讨论了欧盟《网络弹性法案》将于2027年全面实施，对含有数字元素的软件产品的要求，并主张该法案并非开源软件的终结，而是要求更好的工程实践。
# 2026年5月可重复构建报告 2026年5月的可重复构建报告重点介绍了一项重大的 Debian 政策变更——要求所有软件包必须可重复构建才能纳入"forky"版本发布，同时还包括2026年哥德堡峰会的相关消息、新版本 rebuilderd 的发布以及其他项目更新。
作者认为，内存不安全的开源软件极易受到即将到来的人工智能漏洞查找代理的攻击，这使内存安全成为道德义务，并且Rust必须作为领先且零开销的内存安全语言取得成功。
Anthropic正在扩展其网络安全合作项目Project Glasswing，将覆盖约150个新组织，遍布多个国家和行业，为他们提供Claude Mythos Preview的访问权限，以发现关键软件中的漏洞。
PromptAudit是一个受控评估框架，通过隔离提示表述对基于LLM的漏洞检测的影响，发现思维链提示在整体性能上表现最佳，同时提示敏感性必须被视为一级系统属性。
Anthropic的Project Glasswing利用Claude Mythos Preview在关键软件中发现了超过10,000个高危或严重漏洞，合作伙伴如Cloudflare报告称漏洞发现率提高了十倍，这凸显了从发现漏洞到修复漏洞的瓶颈转移。
Dan Jeffries评论了Cloudflare对Anthropic的Mythos的测试，认为真正的讨论应聚焦于针对AI驱动的攻击的实际安全改进，并且如果团队调整工作流程，AI最终会让软件更安全。
Vitalik Buterin分享了一个乐观的看法，认为AI辅助的形式化验证是实现安全、无需信任的代码的途径，并链接到他的博客文章，该文章解释了使用Lean进行形式化验证的基础知识。