安全研究警告2026年夏季AI发现漏洞激增,ML工具大规模发现隐藏软件缺陷。

根据软件供应链安全公司Chainguard首席执行官兼联合创始人Dan Lorenc的说法，从事修复开源代码漏洞工作的安全团队将迎来一个"混乱"的夏季。Chainguard正在推动一项新成立的倡议Athena，这个联盟由大约两打公司组成，致力于使用AI防止针对开源软件的攻击，并使漏洞发现和修复"尽可能易于实现"。

创始成员包括BNY、Cisco、Cloudflare、Corridor、DepthFirst、Docker、JPMorganChase、Kyndryl、LTM和PwC。这些公司中的许多也与Anthropic的Project Glasswing和OpenAI Daybreak合作，这两个项目提供了先进漏洞发现模型的使用权限。Athena接受来自所有前沿模型的漏洞发现报告，已处理超过20,000项发现，并在500个开源项目中开发了超过2,000个补丁。该联盟的第一波漏洞披露将在大约三周内开始。

"这将是一个对所有人来说都很混乱的夏季，"Lorenc告诉《The Register》。尽管对Anthropic的Mythos和OpenAI的GPT-5.5-Cyber等先进前沿模型的能力仍存在怀疑，但数据令人信服。"我们看到的统计数据和数据令人恐惧——如果你持续对相同的库和代码进行扫描，它就会继续发现更多漏洞。我们还没有看到这条曲线开始下降。"

当在应用程序级别运行这些模型时，问题的规模变得显而易见。大多数现代应用程序包含大约95%的来自第三方的开源代码。当先进的模型扫描这些代码时，它们在开源组件中发现了大量组织无法自行修复的漏洞。

"你一次发现了数千个这样的漏洞，它们跨越了许多你在运行此工具前甚至不知道自己在使用的项目，你甚至不知道如何联系这些人，你基本上卡住了，"Lorenc解释道。由于CVE公开披露与确认利用之间的时间基本上已经消失，挑战加剧了。"然后你把自己置于风险中——在运行这些扫描之前，你已经处于风险中，但其他人都不知道。AI以一种无意的方式为每个人都制造了这个困境。"

5月份，Anthropic用Mythos Preview扫描了超过1,000个开源项目，发现了估计6,202个高危或严重级别的漏洞。

Athena作为漏洞信息交换所运营。成员公司通过任何前沿模型提交在开源代码中发现的漏洞报告。Chainguard进行去重、关联和批处理整个库中的发现，以解决漏洞类别而非单个缺陷。受影响的项目被强化，并通过Chainguard Libraries向Athena成员提供，一个月后再进行公开披露。对于无法开发永久修复的维护者，Athena承担"最后维护者"的角色。

Linux Foundation通过宣布Akrites增强了这一努力，Akrites是一个为防范AI驱动的威胁而建立的行业联盟。Akrites创建了一个共享的安全事件响应团队(SIRT)和标准化的协调漏洞披露(CVD)流程。创始公司包括Amazon Web Services、Anthropic、Chainguard、Cisco、Citi、Endor Labs、Ericsson、Google、IBM、JPMorganChase、Microsoft和GitHub、Nvidia、OpenAI、RapidFort、Red Hat、Rust Foundation、Sonatype、Vodafone和Zscaler。

"随着AI发现更多漏洞，行业将仓促地修补它们。没有协调的情况下，这些修复将分散在不同的补丁和分支中，维护人员已经不堪重负、无法联系，或已多年未接触项目，"Lorenc说。专门的SIRT为维护人员提供单一的披露和补救合作伙伴，而不是处理数百份不协调的报告。"现在的工作是确保总是有人在另一端去处理它们。"