AI 资源库 · 已整理 5 项
查看与AI 辅助安全研究相关的 AI 资讯、工具、Skill、工作流和开源项目。
AWS 周四正式开放了名为 Continuum 的 AI 安全服务。它会自动在你的代码仓库里查找漏洞、复现问题，对照 AWS 环境验证，然后提交带修复方案的 PR。AWS 自己发布的测试显示，在 920 个 C/C++ 内存安全漏洞任务中，Continuum 有 89% 能找出并修好漏洞且不破坏原有测试，远超此前公开最高分 65.9%。不过这个分数是 AWS 自己跑的，还没第三方复现；而且只有 37.8% 的修复同时命中了测试指定的那个历史漏洞——因为智能体并不知道要找哪个洞。测试也只覆盖 C/C++ 一类问题。对开发团队来说，它可能帮忙快速发现并修掉真实漏洞，但具体修的是不是你要的那个，还需人工确认。
本周，欧洲多国政府网站和公共服务下线，原因是新披露的两个 PHP 漏洞（CVE-2026-109618 和 CVE-2026-109619，合称 PHP2Shell）。这两个漏洞出在 PHP 运行环境本身，不在某个应用或框架里，攻击者可在应用代码运行前就触发远程代码执行或泄露内存中的密码、令牌、密钥；因此只有打补丁才管用，光靠应用层认证防不住。PHP 社区和基金会联合各长期支持厂商，在 10 月 21 日同步为所有受支持版本发布了修复，也为已停止支持的旧版本提供了补丁。背景是 AI 让漏洞发现变快，OpenAI 的 Patch the Planet 项目用 GPT-5.6 Sol 协助发现了该漏洞，并预计类似发现会明显增多；但估计仍有约 40% 的 PHP 用户在用不再受支持的版本，升级并不轻松。
dominicrume/ai-code-quality-auditor · An empirical safety harness for agentic AI coding systems: measures whether an AI agent built what the specification asked for, not just whether the code runs. Pre-registered, blinded, open data.
该项目是一个面向智能体式 AI 编码工作流的实证测量与审计工具。它从需求文档、README、包描述或 feat: 提交中提取规格并写入 .auditor/spec.yaml，然后逐项核对代码是否实现了所要求的功能（规格保真度，区分已交付、缺失、存在但不可达以及未被要求的内容），同时报告安全漏洞密度、圈复杂度、重复代码和返工等常规指标。它还支持在同一规格下对比人工基线与多个商业智能体工具的工作流，输出 CSV/JSON 供统计比较，并通过 CI 集成或本地仪表盘展示结果。项目带有学术研究背景（MSc 论文实验工具）与公开数据，也明确披露了自身的误报和方法学限制。
安全研究人员用 AI 模型（如 OpenAI 的 GPT-5.6 Sol 和 Google 旗下 Wiz 的工具）在 PHP 编程语言里发现了两个严重漏洞，合称 PHP2Shell，攻击者可借此在服务器上执行恶意代码。PHP 官方紧急为 8.2 到 8.5 版本发布修复，Cloudflare、Automattic 等公司也上线了防护，但 Chainguard 在约定披露时间前六小时就抢先发布补丁镜像，引发 PHP 基金会不满。这件事暴露出一个新问题：AI 让找漏洞变得容易，而评估和修复仍需时间和专家，小项目更难应对。 Anthropic 的研究也显示 Claude 在 25 个开源项目里找出 493 个安全问题。对普通读者来说，这意味着你用的网站和服务可能更频繁地收到紧急安全更新，也提醒开源维护者的压力正在加大。
安全公司 Calif 借助 OpenAI 的 Patch the Planet 计划，用一个 AI 模型在 PHP 语言里找到可远程执行代码的严重漏洞，Wiz 等也独立报告了同一问题。PHP 维护者其实在 2024 年就注意到相关内存耗尽异常的迹象，但直到今年八月才看清完整危害，随后发布 8.2.35、8.3.36、8.4.27、8.5.12 等修复版本。问题在于补丁正式发布前细节已外泄，Chainguard 提前六小时多公开了打好补丁的镜像，引发是否违反协调披露禁发期的争论。对读者来说：若运行公开可访问的 PHP 服务，应尽快升级到修复版本，并假定可能已被探测甚至入侵。