AI 资源库 · 已整理 16 项
查看与漏洞修复相关的 AI 资讯、工具、Skill、工作流和开源项目。
Snyk 在旧金山举办了首届客户峰会 UNFILTERED，邀请一批安全负责人闭门坦诚讨论。大家集中聊了五个话题：AI 代写的代码出了问题该由谁负责；企业开始追问 AI 的投入回报和预算上限，不再只看成本；找出漏洞不再是难点，难点是修得快、少靠人；AI 让每个人都能写代码，风险来源也变多了；人能审核的数量有限，愿意信任自动代理，但前提是代理绕不过控制。这次峰会是闭门讨论，不发布产品；次日 Snyk 才推出 Evo Agentic AppSec 并举办 AI 安全峰会。
提供的材料未提及具体可用工具。
PHP 爆出两个严重漏洞（合称 PHP2Shell，评分 9.2），大约七成网站用 PHP 搭建，本该紧急升级。但安全公司 Ox 发现，漏洞公布五天后仍有 93.6% 的服务暴露在外；Censys 统计约 3250 万个服务仍跑不安全版本，还有 6130 万个版本情况不明。原因是大量服务器运行早已停止维护的 PHP 老版本，没有现成补丁，必须先升级系统、处理兼容问题，比普通打补丁麻烦得多。现实后果是攻击已在发生，Cloudflare 称公布后数小时内攻击尝试从数千涨到数百万，美国 CISA 已要求联邦机构限时修复；对普通用户来说，这意味着用 PHP 的网站和游戏短期内更易被攻破。
提供的材料未提及具体可用工具。
Snyk 推出了 Evo Remediation Agent 的开放预览版，它能自动处理开源依赖漏洞：按团队设定的仓库范围和严重级别，智能体在托管沙箱里制定升级方案、修改代码，并用构建、测试和重新扫描验证结果，然后给开发者开拉取请求，由开发者决定是否合并。这解决的是漏洞修不完、和开发日常工作抢时间的问题。官方在 307 个依赖升级任务上测试，该工具四项检查全部通过的比率为 90.2%，而配合 Snyk 发现结果的 Claude Code 为 77.5%，单用 Claude Code 为 59.6%。目前只是开放预览，需申请租户权限，有每日修复额度限制，且仅支持开源漏洞，智能体不会自动合并。
PHP 项目在 2026 年 10 月 21 日发布了 8.5.12、8.4.27、8.3.36、8.2.35 四个版本，修复两个严重漏洞：攻击者不需要登录、也不用任何账号，只要发送恶意网页请求，就可能直接在服务器上运行自己的代码，危害极大。问题出在 PHP 引擎处理请求的流程里，而不是某个第三方包，所以升级 PHP 本身才是解决之道。官方说没有完全规避的办法，唯一安全的选择就是升级；如果仍用 8.1 或更早版本，需要找系统发行版或长期支持厂商拿回补丁，或者直接升级。另外 10 月 23 日补充了一个编号 CVE-2026-115560 的变体绕过问题，只有应用在运行时动态切换 session 序列化方式才可能受影响，普通部署可以暂时不用紧张。读者应尽快确认每台机器实际运行的 PHP 版本，不要只看扫描结果。
提供的材料未提及具体可用工具。
Cloudflare 使用 OpenAI 的 Daybreak 来调查安全漏洞，并生成修复建议，交由人工审核。与此同时，Cloudflare 的开发人员用 OpenAI 的 Codex 编程助手来加快写代码的速度，并提升代码质量。简单说，就是安全团队让 AI 帮忙找漏洞、提修复方案，开发团队让 AI 帮忙写代码，两件事都用上了 OpenAI 的工具。不过原文没有说明 Daybreak 具体怎么用、Codex 带来了多少效率提升，也没有说明这些工具是否已全面上线还是仍在试用。
安全公司 Snyk 在旧金山 AISS 大会前一天办了一场圆桌讨论，请来 OpenAI、Google 威胁情报团队、风投机构和 Snyk 的四位安全负责人聊 AI 安全。原来大家早就积累了不少安全隐患，只是以前攻击成本高、没被利用；现在 AI 让攻击变得又便宜又快，等于把这些旧账一次性催收。讨论指出，找漏洞越来越容易，真正卡住人的是修复速度，所以防守方需要让机器承担大部分修复工作，并配合身份、权限和意图管控。文章还提到一个案例：有人用开源 AI 渗透测试工具攻击了至少九家韩国银行；另有研究发现，扫描的 3,984 个智能体技能中至少 36.82% 存在安全缺陷。这些是会上讨论的观点和案例，不代表已有现成方案落地。
安全公司 Wiz 等机构借助前沿 AI 模型，在 PHP 核心引擎中发现两个严重漏洞（名为 PHP2Shell，严重度评分 9.2），可让攻击者在未登录情况下在 WordPress、Drupal、Joomla 等站点上执行代码。这些问题存在了至少十年：老代码里对已释放内存的引用会被后续请求误当成有效数据，以往要挖出并串联利用条件非常费力；Wiz 称用 AI 后一名研究员约一周就完成了过去团队数月的工作。漏洞于 8 月下旬被报告，PHP 官方在 9 月下旬确认并联合各方修复，补丁在公开披露当天发布，但细节提前外泄，Cloudflare 在正式公告前约九小时已默认拦截攻击流量。对读者的提醒：防火墙规则只能挡攻击、不能替代补丁，运行 PHP 的站点应尽快升级到已修复版本，而 OpenAI 也借此提出了一套应对 AI 发现漏洞的五阶段协作框架，仍需社区完善。原文未说明各漏洞在具体版本中的详尽影响范围。
PHP 官方在 2026 年 10 月 21 日紧急修复了两个严重漏洞，统称 php2shell（CVE-2026-109618 和 CVE-2026-109619，严重程度均为 9.2 分）。问题出在 PHP 本身：当请求耗尽内存等致命错误发生时，PHP 会中途跳出、跳过清理步骤，留下半完成的内存状态；攻击者可以用特制上传和后续请求利用这块烂摊子，读取内存片段甚至执行任意命令。Harness 推出了 WAF 虚拟补丁规则，先以监控模式观察、确认后切到拦截，还可在 API 安全扫描发现暴露端点时一键生成补丁，帮你在逐个服务器更新重启之前挡住攻击。普通读者要明白：约七成已知服务器软件的网站跑在 PHP 上，受影响面很大，虚拟补丁只是临时桥梁，最终仍需把每台 PHP 装好补丁并重启。
有一个叫“修补地球”（Patch the Planet）的项目，它把安全研究人员、开源软件的维护者和应急响应人员连到一起，专门处理开源软件里的严重安全漏洞。原来，发现漏洞的人和负责修漏洞的人常常对不上号，漏洞信息散落各处，修复容易被拖延。这个项目通过牵线搭桥、协调各方，让漏洞被发现后能更快交到能修的人手里。对普通读者来说，这意味着你日常用的开源软件出问题时，可能更快得到修补。原文只有一句话介绍，具体怎么协调、已经覆盖多少漏洞、现在能不能用，都没有说明。
提供的材料未提及具体可用工具。
Snyk 发布了一个叫 VulnBump 的新测试基准，用来考察 AI 智能体能不能把项目里有漏洞的第三方依赖升级到安全版本。以前升级依赖很难：多数有漏洞的包是被间接引入的，约四分之一修复需要跨大版本，连小版本升级也常导致构建失败，所以虽然 94% 的漏洞都有已知修复版本，实际只有约 10% 被解决。VulnBump 用 307 个真实升级任务来考智能体，只有漏洞消失、项目仍能安装、构建并通过测试才算通过。结果显示：同一个 Claude Sonnet 5.5 模型，配上 Snyk 数据后通过率能提高约 18 个百分点，而 Snyk 专用智能体通过率达到 90.2%。对开发者的用处是：想安全修漏洞，光靠通用 AI 不够，还要有准确的升级建议和扫描验证。
Snyk 发布了一套叫 Evo Agentic AppSec 的“安全智能体”工具，用一组 AI 代理自动完成应用安全工作的各个环节。过去，安全团队面对 AI 大量生成的代码早已不堪重负，Snyk 的数据显示每修复一个漏洞、同时会新增约八个，其中不少是传统扫描器看不清的业务逻辑和权限问题，恶意依赖包还可能在扫描前就偷走凭证。这套工具覆盖从代码开发、CI 检查到定期深度分析三个环节，把威胁评估、漏洞发现、修复和验证串起来，人只负责定策略和审批；据其 VulnBump 测试，修复代理生成的修复有 90% 可直接合并，而无上下文时只有 59.6%。对读者的意义是：这类方案试图让安全审查跟上 AI 写代码的速度，而不是靠人工事后补漏。目前原文只说了这是将进入 Evo 平台的新方案，未说明开放时间或价格。
Chainguard 推出了一套 AI 安全工具 Harness，用前沿模型帮忙找应用代码里普通扫描器查不出的可被利用漏洞。它一开始用的是 Anthropic 限制开放的 Claude Mythos 5.1，所以没参加 Project Glasswing 的团队没法直接碰这个模型，但可以通过 Harness 间接受益。Harness 强调先在实际隔离环境里复现漏洞、验证补丁确实有效，再由人工审核后才交付，以减少 AI 误报给维护者带来的噪音。它已经公开发现并修复了 vLLM 的一个漏洞，还有关键基础设施相关的问题在协调披露中。同时发布的一份调查称，营收十亿美元以上的公司里有 66% 承认至少有时会放着高危漏洞不修。
很多团队都有一份长期没人处理、也不指望处理完的漏洞清单，过去把它当成“技术债”：先按严重程度挑一部分修，剩下的默认没人会碰。但现在三个前提变了：代码产出量远超清理速度（产品数据显示大约每修1个漏洞就新增6个）、越来越多代码由AI代理生成、无法追问作者意图、攻击方也用上自动化，能低成本扫描并组合利用那些低危小问题。文中举例说，几个单独看都不严重的问题串起来，可能形成远程代码执行的攻击路径。所以清单不只是排队问题，而是一份攻击者能拼装的零件表；光把排序做得更准，也只能让队列更有序，并不会让它变短。
提供的材料未提及具体可用工具。
WHOOP 是一家做健康手环的公司，每天要处理成千上万条漏洞告警，靠全员连续多天手工分类才能不漏掉问题，既费人力又容易被噪音淹没。这次他们用 Datadog 的 Bits AI 和 Workflow Automation 搭了一套自动化的漏洞响应流程：先结合运行时数据判断哪些漏洞真的在被利用，再把工单自动分配给对应微服务的负责人，让开发者能自己处理一部分。原文尚在预告 2026 年 10 月 7 日的线上分享，具体实现细节和效果数据没有给出；不过它的思路是自动化处理加人工最终确认，对同样被大量漏洞告警困扰的安全和运维团队有参考意义。
AI 让网络攻击变快了，防守方原来那堵墙就不够高了。文章用“梯子和墙”打比方：攻击者过去只是把梯子加高一点点，刚好翻过防守方的墙。现在有了 AI 帮忙，梯子一下子高了很多，很多公司来不及应对。文章建议先把身份管理、漏洞修复、威胁检测这些基础做好，同时用 AI 加快处理速度，还提到 Anthropic 发了一篇详细博客讲怎么准备。对读者来说，重点是别把这当成纯安全问题，工程、基础设施和安全团队要一起配合，才能跟上节奏。文章没给具体数字，也没说这些建议是已经可用的产品还是未来计划。
提供的材料未提及具体可用工具。
Harness 发布了一篇博客，解释漏洞“修复”和“缓解”的区别：修复是打补丁或升级，彻底消除漏洞；缓解则是隔离、封堵或关闭功能，让漏洞难以被利用，但漏洞本身还在。博客说，当补丁还没有、修复需要停机窗口，或攻击路径本来就不通时，可以先选缓解；但每个缓解措施都要有负责人和到期日，否则临时措施会变成永久隐患。对开发团队来说，这能帮助决定什么时候必须真正修、什么时候可以先顶住，而不是把风险一直存着。文中还提到 Harness 的安全测试编排可对接 40 多个合作扫描器，并引用调查称：最频繁使用 AI 编程工具的人群中，50% 表示采用后漏洞和安全事件变多了。