Hacker News 中文摘要

RSS订阅

OpenAI和Anthropic回应后，六个curl漏洞被修复 -- Six curl CVEs after OpenAI and Anthropic came back with zero

原文链接 | HN讨论 | 2026-09-03 00:53:13

AISLE在OpenAI和Anthropic的AI系统对curl代码库未发现任何漏洞后，仅用数天就自主发现了六个curl安全漏洞。curl是全球部署超200亿实例的软件，此前两大前沿AI安全系统均报告零发现。

正文

好的，这是根据您的要求，对原文进行的中文重述：

标题：AISLE发现六个curl漏洞，此前OpenAI和Anthropic的报告为零

AISLE公司近日宣布，其AI系统在curl软件中发现了六个新的安全漏洞（CVE）。这一发现发生在OpenAI和Anthropic的前沿AI系统报告未在curl中发现任何新漏洞之后。curl是一个全球部署超过200亿实例的软件。

2026年8月24日，curl创始人Daniel Stenberg发文称，下一个版本只有三个待处理的CVE。在使用了前沿AI网络安全系统分析curl后，他补充说，Anthropic的Mythos和OpenAI的Codex Security均报告“无法找到更多漏洞”。

随后，AISLE的自主AI系统对curl进行了分析。第二天，在审查流程尚未完成时，Stenberg就发文对比了结果：Mythos发现0个，而AISLE报告了29个。

在这29份报告中，有6份在几天内被curl安全团队认定为足够严重，并授予了公开的CVE编号，这些漏洞已在最新发布的curl 8.22.0版本中修复。这六个CVE分别是：

  1. CVE-2026-80229：OpenSSL提供程序释放后使用
  2. CVE-2026-80230：OpenSSL证书锁定绕过
  3. CVE-2026-80231：本地CA存储连接重用
  4. CVE-2026-80255：使用制表符绕过安全属性
  5. CVE-2026-82208：wolfSSL CA缓存命中覆盖回调
  6. CVE-2026-82209：域范围公共后缀Cookie

所有六个漏洞的严重等级均为“低”。这与curl工程成熟度极高的特点相符：剩余的漏洞往往隐藏在狭窄的配置和微妙的交互中，限制了其实际影响。所有漏洞的发现者均被正式归功于AISLE的Stanislav Fort。

与典型的AI网络安全评估不同，这并非一场已知答案的夺旗挑战或基准测试。AISLE分析的是当前的生产代码，并由curl的维护者而非AISLE来决定每个发现是否为真实漏洞以及是否值得授予CVE。

由于Stenberg在AISLE运行分析之前就公开了其他前沿AI系统的零结果，这使得对比具有一个异常清晰的特性：基线是公开且有时间戳的。CVE虽然并非完美指标，但为零日漏洞发现提供了强有力的外部验证，因为每个CVE都是生产代码中先前未知的缺陷，经过领域专家复现和确认，并最终为已部署用户修复。

到8月28日，curl待处理的CVE数量从三个增加到十个，其中六个来自AISLE。Linux稳定版长期维护者Greg Kroah-Hartman回应称，他在Linux内核中也看到了来自AISLE的类似模式。

AISLE表示，这是其“系统优于模型”论点的又一例证：专门的AI系统能够在现实世界的零日漏洞发现中与前沿AI实验室的系统竞争并胜出。在curl上，结果是六比零。

评论

根据评论内容，总结如下：

主要观点与论据：

  1. 正面评价（认可度较高）：部分评论认为AISLE的成果值得肯定，是“正确的炫耀”（anilgulecha），并指出本地模型在正确上下文和工具下可媲美云端方案（TechTechTech）。评论3（rwmj）提供了实际案例，称其安全报告“信号噪声比合理”，并成功发现一个需链式利用的漏洞。

  2. 负面评价（认可度较低）：多数评论批评其为“营销内容”（Surac, guptadagger），缺乏技术细节（melvinroest），如未说明底层模型。评论8（markasoftware）质疑其高误报率：29个问题仅6个获CVE，且均为低严重性，可能只是阈值不同。评论6（bluGill）指出OpenAI和Anthropic已研究过curl，需用旧版本对比才公平。

  3. 平衡性观点：评论10（pdp）认为不能直接比较模型与专用工具，两者本质不同。评论9（graemep）调侃curl因频繁被用于AI演示而变得“极其安全”。

关键引用（保留中英文）： - “That's bragging rights correctly earned... definitely something to keep an eye on.”（anilgulecha） - “There is no technical discussion as to how they did it... simply: we did it and Mythos and Codex didn't.”（melvinroest） - “The tool basically had to chain two exploits together... It also came up with a patch to fix.”（rwmj） - “Marketing Slop”（Surac） - “Since AISLE reported 29 issues but only 6 warranted a CVE... this makes me wonder if AISLE simply is tuned for a higher false positive rate.”（markasoftware）