AI 资源库 · 已整理 4 项
查看与漏洞发现相关的 AI 资讯、工具、Skill、工作流和开源项目。
一位安全研究员在谷歌开发者文档平台 DevSite 中发现了一个严重漏洞。DevSite 把 OAuth 客户端密钥同时当作登录签名的钥匙，还把这段数据放进用户能看到的 Cookie 里；由于服务器反序列化数据的方式不安全，任何人拿到密钥就能伪造登录凭证，并在谷歌服务器上运行自己的代码，无需账号也无需受害者操作。谷歌将漏洞评为最高级别 S0，向研究员支付了 9 万美元奖金，但从 8 月 6 日报告到 10 月 7 日才部署修复，中间空窗两个月。报道未说明谷歌是否做了临时缓解、密钥是否全部轮换、旧会话是否失效，也未证实漏洞是否曾被真实利用。对使用谷歌开发者文档的普通用户来说，风险在于若被利用，文档中的安装命令或下载链接可能被替换成恶意版本，但目前尚无证据表明发生过这种情况。
提供的材料未提及具体可用工具。
anthropics/oss-scanner
OSS Scanner 是 Anthropic 提供的服务，用于扫描关键开源仓库中的安全漏洞。项目方可提交 PR 在 projects/<name>/ 下注册项目，提供 project.yaml 与 Dockerfile（可选 threat_model.md）；扫描器在隔离虚拟机中联网构建项目，随后在无网络环境下分析，并通过邮件把带复现步骤和（可用时）修复补丁的模型生成报告发送给 primary_contact 及抄送人。报告由模型生成、无人工复核，因此不设 90 天披露期也不公开。仓库还提供 tools/validate.py、tools/check 等本地校验与构建工具。
Anthropic 推出了一个叫 OSS Scanner 的工具，让 Claude 帮忙扫描开源软件里的安全漏洞。六个月里，Claude 找出了超过 29000 个“疑似漏洞”，但负责人工确认的六家外部安全公司才审查了约 6000 个，最终只有 516 个真正被修补。问题在于：AI 找漏洞的速度远远超过了人类验证和修复的速度。不过，一些开源项目（如 curl、PostgreSQL、OpenSSL）的负责人表示，收到的报告质量很高，有的甚至附带了可直接使用的修复代码。目前这个工具只对符合条件的成熟开源项目开放，需要申请并验证维护者身份。
google/oss-fuzz · OSS-Fuzz - continuous fuzzing for open source software.
OSS-Fuzz 由 Google 联合 Core Infrastructure Initiative 与 OpenSSF 推出，旨在通过结合现代模糊测试技术与可扩展的分布式执行，让常见的开源软件更加安全与稳定。项目支持 libFuzzer、AFL++、Honggfuzz 等模糊测试引擎及 Sanitizers，并使用 ClusterFuzz 作为分布式模糊测试执行与报告环境，目前支持 C/C++、Rust、Go、Python、Java/JVM、JavaScript 和 Lua，以及 x86_64 与 i386 构建。截至 2025 年 5 月，OSS-Fuzz 已帮助在 1000 个项目中识别并修复超过 13000 个漏洞和 50000 个缺陷。