首页/新闻资讯/正文详情

AI 机器人找漏洞,开源软件价值反而更高了

发布时间:2026/11/8 6:30:16 来源:云帆数科 栏目:资讯中心
AI 机器人找漏洞,开源软件价值反而更高了
「无漏洞、安全的代码现在可以实现了」——这个说法听起来很美但它恰恰是错的。这是 Eric Raymond 关于 AI 辅助漏洞发现的一番乐观表态下 80 多条回复中的一条。Raymond 认为人类编写的代码总量是有限的因此缺陷总量也是有限的有了「一百万个友好的机器人」帮忙修复我们就有能力在 AI 层面跑赢攻击者把软件安全搞定。我完全支持这个方向。问题在于这被当成了「一场终将结束的捉虫行动」。今天的工具在昨天的代码里挖洞凭什么认为明天的工具不会在今天我们视为安全的软件里继续挖洞对花了几十年为开源辩护的人来说这是一个有趣的转折。Raymond 让 Linus 定律流行起来「只要眼睛足够多所有 bug 都是浅的。」但开源从来不保证有足够多合格的眼睛说实话真正愿意去看的人一直很少。AI 终于让更多「眼睛」开始工作——只不过这些眼睛是机器人的。开源的机会在于我们接下来选择做什么。我坚信今天比以往任何时候都更需要开源共享代码库让一代代漏洞猎人有个地方贡献修复而且所有人都能用上。这也是我们集体决定「哪些软件重要、为什么重要」的方式。当再生成一个代码库变得很容易时这个选择就更重要了。捉虫不会结束正如我此前所写开源代码从来不是天生更安全。它的优势在于当有人发现问题时代码和流程足够开放可以采取行动。AI 让「发现」这一环变得更有意思。2024 年 11 月Google 报告称在已经历数十万小时模糊测试的项目中用 AI 生成的模糊测试目标又发现了 26 个漏洞。今年 3 月Mozilla 与 Anthropic 的合作在 Firefox 中发现了 22 个安全漏洞其中 14 个被评为高危。这些软件已经受过大量审视但大语言模型仍能挖得更深。这很了不起但拿它当作「软件漏洞终结」的依据却很古怪。这些发现的教训是我们的信心跑在了检查能力前面。更好的工具暴露了差距但百分百没有证明差距已经不存在。Raymond 的「有限代码」论证绕不开这一点。就算冻结一个代码库、承认缺陷有限也不代表今天的工具能全部找到更不代表能证明找到了全部。而且我们并不会真正冻结生产软件我们改代码、升级依赖、把系统连到原开发者从未设想过的环境里。那位乐观的评论者也承认系统间交互和复杂行为中仍会有 bug——这个例外可太大了。对企业来说它依赖的软件很大一部分正是这些交互。可读软件只是起点还有一种相关论调AI 辅助逆向工程让源码访问变得无关紧要——机器能从二进制里重建可用代码不就等于一切都开源了吗并非如此。跑在别人服务器上的软件未必给你可检查的二进制看似合理的重建也不等于忠实还原。9 月的一篇研究预印本发现某些 LLM 反编译出的函数能通过给定测试却在其他合法输入上表现不同。干净漂亮的代码和原程序不一定是同一回事。就算逆向工程强得多反编译器也不会给你项目的测试、设计讨论、构建环境和历史更不会给你开源许可证。能读实现不等于有权修改和再分发。这些权利之所以重要是因为它们让你能对发现的东西做点什么向上游贡献修复必要时维护一个分支。专有厂商也能做出色的 AI 审计共享代码库也不是开源独有。区别在于谁有权参与维护以及这项工作能否独立于原供应商继续下去。所以我不认为源码访问可以一笔勾销。更好的机器人眼睛让可用的源码更有价值但更大的机会一直在于项目本身由人决定什么值得维护并分担这项工作。软件终究要维护PHP 10 月 21 日的安全版本让这一点无比具体。一位开发者在 2024 年发现了某个底层问题的迹象其潜在可利用性在原理上已被理解但当时没有具体攻击路径。修复涉及兼容性、性能和第三方扩展的艰难取舍专家人力有限、共识流程停滞工作迟迟推不动。随后 AI 辅助研究展示了问题的完整影响。PHP Foundation 与维护者在受支持版本间协调修复基金会也承认了资源和决策上的失误。更多机器人眼睛帮助把危险变得具体但它们没有决定接受哪些兼容性代价也没有组织发布——是人做的。我们一边大谈把人都自动化出软件开发一边不断看到为什么需要懂软件、能做决策的人。我们也该停止那种「AI 让共享代码不再必要」的轻率论调。「我可以用 Claude 构建完美贴合个人需求的软件」听起来不错直到这些需求包括未来十年维护一个数据库、操作系统或办公套件。很少有企业愿意独自承担这一切无论智能体多快能产出第一版。考虑一个智能体修复库中授权漏洞的场景。在共享项目里这个修复可以变成回归测试、受支持的版本以及面向所有下游用户的更新。换成一百次私有重写就有一百个团队得自己判断是否有同样的问题、修复是否站得住。AI 也许让这项工作更便宜但选择重复一百遍怎么看都不像进步。共享代码也有代价广泛部署的依赖会让缺陷扩散得广而仓库里的修复在用户安装之前保护不了任何人。这恰恰是支持维护者、认真对待更新的理由而不是假设公开代码会自己照顾好自己。

相关推荐

工业互联网集成应用工作站:从设备配置到平台联调的完整指南
工业互联网集成应用工作站:从设备配置到平台联调的完整指南

简介:这份PDF是2024年上海高职院校学生技能大赛“工业互联网集成应用师生同赛”赛项的样题,面向高职院校参赛师生及工业互联网相关专业教学人员,用于熟悉赛项流程、任务结构与评分要点。内容涵盖竞赛须知、职业素养与安全规范、扣分项说明&am… · 2026/11/8 6:30:16

WinForm医疗管理系统:挂号收费发药病历四模块完整CS架构
WinForm医疗管理系统:挂号收费发药病历四模块完整CS架构

简介:这是一套基于WinForm开发的医疗设备管理系统,面向医院信息科人员、医疗IT实施工程师及.NET初学者,解决医疗机构在设备台账、合同履约、配件库存、维修工单及数据统计等环节的手动管理痛点。资源包共155个文件,涵盖30个核心业… · 2026/11/2 23:06:54

开源档案管理信息系统:强校验+可配置审批流的工程实践
开源档案管理信息系统:强校验+可配置审批流的工程实践

简介:本资源是一套基于Delphi 6与SQL Server开发的档案管理信息系统(AMIS)完整源码工程,面向高校计算机专业学生、桌面应用初学者及档案信息化项目实践者,解决传统纸质档案数字化归档、权限化检索与结构化维护的实际问… · 2026/11/3 15:46:55

电工证年审别被坑!桂林市电工证年审地点真实经历告诉你怎么避坑
电工证年审别被坑!桂林市电工证年审地点真实经历告诉你怎么避坑

电工证年审别被坑!桂林市电工证年审地点真实经历告诉你怎么避坑 你是不是也这样,拿着电工证,想年审却不知道去哪报名,怕被中介骗钱,又怕错过复审期限?我就是这么一个在桂林干了五年的电工,亲历过被中介忽悠、跑错地方、材料不全的各种糟心事。今天我用… · 2026/11/8 6:29:45

龙海区有培训电工证吗?实操考试心里没底怕挂科,考前押题帮你稳过
龙海区有培训电工证吗?实操考试心里没底怕挂科,考前押题帮你稳过

龙海区有培训电工证吗?实操考试心里没底怕挂科,考前押题帮你稳过 实操考试心里没底怕挂科,这几乎是每个想考电工证的人都会遇到的难题。尤其在龙海区,虽然培训资源逐步丰富,但真正能帮你稳过考试、顺利拿到证书的培训内容,却并不容易找到。很多人在报名… · 2026/11/8 6:29:45

电工证分五级证怎么转异地多少钱
电工证分五级证怎么转异地多少钱

电工证分五级证怎么转异地多少钱 不知道去哪报名怕被中介坑?最近不少朋友在问,电工证分五级,到底该怎么转异地,又得花多少钱?其实,只要掌握流程和渠道,就能省下不少冤枉钱。 电工证分五级,转异地报名到底难在哪?… · 2026/11/8 6:29:45

光伏需要高压电工证吗?证件含金量怎么看?
光伏需要高压电工证吗?证件含金量怎么看?

光伏需要高压电工证吗?证件含金量怎么看? 之前考的证在外省能不能转过来?这个问题在咱们这个圈子里,真的是问得最多。尤其像你这种在光伏项目现场做管理的,跑过好几个项目,手里握着几张证书,但一到新地方,证能不能用、含金量够不够,就成了头等大事。… · 2026/11/8 6:29:45

低压电工证科一到科四考试真题与备考技巧 网上查询全攻略
低压电工证科一到科四考试真题与备考技巧 网上查询全攻略

低压电工证科一到科四考试真题与备考技巧 网上查询全攻略 之前考的证在外省能不能转过来?这几乎是所有想跨省工作的特种作业人员最关心的问题。特别是对于在郑州金水区刚准备报考低压电工证的你,这个问题可能已经萦绕心头好几天了。别急, 网上查询… · 2026/11/8 6:29:45

特种工证发放地点怎么找?上岗必备证书办理全流程解析
特种工证发放地点怎么找?上岗必备证书办理全流程解析

特种工证发放地点怎么找?上岗必备证书办理全流程解析 之前考的证在外省能不能转过来?这几乎是每个劳务班组负责人都会问的问题。特别是南阳的班组负责人,常常需要带着工人跑工地,跨地区施工,证件的办理和迁移就成了头等大事。特种工证不仅是 上岗必备… · 2026/11/8 6:28:45

电工证丢失还能补吗?千万别踩坑,丢了证等于失业
电工证丢失还能补吗?千万别踩坑,丢了证等于失业

电工证丢失还能补吗?千万别踩坑,丢了证等于失业 你正在找工作,但手里的电工证突然丢了,这下怎么办?别急,先别慌, 电工证丢失还能补吗 ?答案是肯定的,但 千万别踩坑 ,补办流程如果不了解,可能会耽误你上岗、甚至影响到你的收入。… · 2026/11/8 0:00:20

电力电缆作业证直播报名入口与办理流程良心建议
电力电缆作业证直播报名入口与办理流程良心建议

电力电缆作业证直播报名入口与办理流程良心建议 你是不是也担心学历不高报不了名?别急,今天就给你讲讲 电力电缆作业证直播 的报名流程和那些你必须知道的干货, 良心建议 在这里,别错过。 电力电缆作业证直播报名需要什么条件?… · 2026/11/8 0:00:20

英德电工证报考费多少钱,怕考不过白交培训费?看完这篇别再踩坑
英德电工证报考费多少钱,怕考不过白交培训费?看完这篇别再踩坑

英德电工证报考费多少钱,怕考不过白交培训费?看完这篇别再踩坑 怕考不过白交培训费?英德电工证报考费多少钱,你真的了解吗?现在市面上培训机构五花八门,价格参差不齐,很多人一不小心就花了冤枉钱,结果还考不过。别急,今天就来给你说清楚英德电工证的… · 2026/11/8 0:00:20

电工证丢失还能补吗?千万别踩坑,丢了证等于失业
电工证丢失还能补吗?千万别踩坑,丢了证等于失业

电工证丢失还能补吗?千万别踩坑,丢了证等于失业 你正在找工作,但手里的电工证突然丢了,这下怎么办?别急,先别慌, 电工证丢失还能补吗 ?答案是肯定的,但 千万别踩坑 ,补办流程如果不了解,可能会耽误你上岗、甚至影响到你的收入。… · 2026/11/8 0:00:20

电力电缆作业证直播报名入口与办理流程良心建议
电力电缆作业证直播报名入口与办理流程良心建议

电力电缆作业证直播报名入口与办理流程良心建议 你是不是也担心学历不高报不了名?别急,今天就给你讲讲 电力电缆作业证直播 的报名流程和那些你必须知道的干货, 良心建议 在这里,别错过。 电力电缆作业证直播报名需要什么条件?… · 2026/11/8 0:00:20

英德电工证报考费多少钱,怕考不过白交培训费?看完这篇别再踩坑
英德电工证报考费多少钱,怕考不过白交培训费?看完这篇别再踩坑

英德电工证报考费多少钱,怕考不过白交培训费?看完这篇别再踩坑 怕考不过白交培训费?英德电工证报考费多少钱,你真的了解吗?现在市面上培训机构五花八门,价格参差不齐,很多人一不小心就花了冤枉钱,结果还考不过。别急,今天就来给你说清楚英德电工证的… · 2026/11/8 0:00:20

双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试
双极步进电机控制实战:DRV8818PWPR与PIC18F86K22驱动调试

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/7 11:25:08

STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析
STM32F207ZG + DRV8818PWPR 步进电机驱动实战解析

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/7 12:02:18

DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案
DRV8818PWPR+dsPIC30F4013工业级双极步进电机控制方案

/* MD / 富文本中的 .toc(含博客园搬家等嵌套结构);.toc-box 在侧栏,不受影响 */#content_views .toc,/* 编辑器常在目录前后插入空 p(:empty 仍占 20px),一并去掉避免顶空隙 */#content_views.markdown_views > p:empty:has(+ .toc),#content_views.markdown_views … · 2026/11/8 1:18:25

了解更多?预约专属演示

我们的顾问将为您一对一讲解产品与方案

企业微信二维码