劍橋大學教授 Anil Madhavapeddy 展示 AI 編程代理能在修補程式討論後十分鐘內識別安全漏洞，並使用了 DeepSeek V4 Pro 等模型。該代理通過分析公共儲存庫成功發現了百分號編碼的遍歷序列，並在 Claude Fable 表現不佳時切換至 DeepSeek V4 Pro。這種快速檢測顯著縮短了漏洞披露與實際利用之間的時間窗口，挑戰了現有的開源保密協議，因為漏洞可能在傳統發布週期結束前就被利用。這迫使生態系統在 AI 驅動的安全研究時代，需要建立新的自動修補和社區安全流程。維護者 Nick Craig-Wood 指出，GitHub 的 CVE 分配時間已延長至 3 到 4 週，導致待處理的建議書出現積壓。
事件背景
開源專案通常採用保密協議，即在秘密開發安全修補程式並同時發布，以防止漏洞被利用。百分號編碼遍歷序列是一種常見的攻击向量，URL 中的特殊字元經過編碼以繞過路徑清理邏輯，從而允許存取指定目錄之外的檔案。
社群觀察
Hacker News 上的社區成員確認了這一趨勢，rclone 維護者 Nick Craig-Wood 報告說安全披露數量激增且 CVE 分配時間變慢。討論突顯了維護者面臨的壓力，他們必須比官方 CVE 分配流程更快地篩選和修復問題。
