AI 机器人找漏洞，开源软件价值反而更高了-北京尧图网络

「无漏洞、安全的代码现在可以实现了」——这个说法听起来很美但它恰恰是错的。这是 Eric Raymond 关于 AI 辅助漏洞发现的一番乐观表态下 80 多条回复中的一条。Raymond 认为人类编写的代码总量是有限的因此缺陷总量也是有限的有了「一百万个友好的机器人」帮忙修复我们就有能力在 AI 层面跑赢攻击者把软件安全搞定。我完全支持这个方向。问题在于这被当成了「一场终将结束的捉虫行动」。今天的工具在昨天的代码里挖洞凭什么认为明天的工具不会在今天我们视为安全的软件里继续挖洞对花了几十年为开源辩护的人来说这是一个有趣的转折。Raymond 让 Linus 定律流行起来「只要眼睛足够多所有 bug 都是浅的。」但开源从来不保证有足够多合格的眼睛说实话真正愿意去看的人一直很少。AI 终于让更多「眼睛」开始工作——只不过这些眼睛是机器人的。开源的机会在于我们接下来选择做什么。我坚信今天比以往任何时候都更需要开源共享代码库让一代代漏洞猎人有个地方贡献修复而且所有人都能用上。这也是我们集体决定「哪些软件重要、为什么重要」的方式。当再生成一个代码库变得很容易时这个选择就更重要了。捉虫不会结束正如我此前所写开源代码从来不是天生更安全。它的优势在于当有人发现问题时代码和流程足够开放可以采取行动。AI 让「发现」这一环变得更有意思。2024 年 11 月Google 报告称在已经历数十万小时模糊测试的项目中用 AI 生成的模糊测试目标又发现了 26 个漏洞。今年 3 月Mozilla 与 Anthropic 的合作在 Firefox 中发现了 22 个安全漏洞其中 14 个被评为高危。这些软件已经受过大量审视但大语言模型仍能挖得更深。这很了不起但拿它当作「软件漏洞终结」的依据却很古怪。这些发现的教训是我们的信心跑在了检查能力前面。更好的工具暴露了差距但百分百没有证明差距已经不存在。Raymond 的「有限代码」论证绕不开这一点。就算冻结一个代码库、承认缺陷有限也不代表今天的工具能全部找到更不代表能证明找到了全部。而且我们并不会真正冻结生产软件我们改代码、升级依赖、把系统连到原开发者从未设想过的环境里。那位乐观的评论者也承认系统间交互和复杂行为中仍会有 bug——这个例外可太大了。对企业来说它依赖的软件很大一部分正是这些交互。可读软件只是起点还有一种相关论调AI 辅助逆向工程让源码访问变得无关紧要——机器能从二进制里重建可用代码不就等于一切都开源了吗并非如此。跑在别人服务器上的软件未必给你可检查的二进制看似合理的重建也不等于忠实还原。9 月的一篇研究预印本发现某些 LLM 反编译出的函数能通过给定测试却在其他合法输入上表现不同。干净漂亮的代码和原程序不一定是同一回事。就算逆向工程强得多反编译器也不会给你项目的测试、设计讨论、构建环境和历史更不会给你开源许可证。能读实现不等于有权修改和再分发。这些权利之所以重要是因为它们让你能对发现的东西做点什么向上游贡献修复必要时维护一个分支。专有厂商也能做出色的 AI 审计共享代码库也不是开源独有。区别在于谁有权参与维护以及这项工作能否独立于原供应商继续下去。所以我不认为源码访问可以一笔勾销。更好的机器人眼睛让可用的源码更有价值但更大的机会一直在于项目本身由人决定什么值得维护并分担这项工作。软件终究要维护PHP 10 月 21 日的安全版本让这一点无比具体。一位开发者在 2024 年发现了某个底层问题的迹象其潜在可利用性在原理上已被理解但当时没有具体攻击路径。修复涉及兼容性、性能和第三方扩展的艰难取舍专家人力有限、共识流程停滞工作迟迟推不动。随后 AI 辅助研究展示了问题的完整影响。PHP Foundation 与维护者在受支持版本间协调修复基金会也承认了资源和决策上的失误。更多机器人眼睛帮助把危险变得具体但它们没有决定接受哪些兼容性代价也没有组织发布——是人做的。我们一边大谈把人都自动化出软件开发一边不断看到为什么需要懂软件、能做决策的人。我们也该停止那种「AI 让共享代码不再必要」的轻率论调。「我可以用 Claude 构建完美贴合个人需求的软件」听起来不错直到这些需求包括未来十年维护一个数据库、操作系统或办公套件。很少有企业愿意独自承担这一切无论智能体多快能产出第一版。考虑一个智能体修复库中授权漏洞的场景。在共享项目里这个修复可以变成回归测试、受支持的版本以及面向所有下游用户的更新。换成一百次私有重写就有一百个团队得自己判断是否有同样的问题、修复是否站得住。AI 也许让这项工作更便宜但选择重复一百遍怎么看都不像进步。共享代码也有代价广泛部署的依赖会让缺陷扩散得广而仓库里的修复在用户安装之前保护不了任何人。这恰恰是支持维护者、认真对待更新的理由而不是假设公开代码会自己照顾好自己。

AI 机器人找漏洞，开源软件价值反而更高了

相关推荐

工业互联网集成应用工作站：从设备配置到平台联调的完整指南

C语言底层探秘：整数与浮点数在内存里到底是怎么藏起来的？

UART 与 USART 中的波特率、停止位、数据位、起始位、CK 作用详解

更多资讯

Claude Code v2.1.287：Mod+Context双轨制与You should know插件深度解析

Web底栏与播放器界面组件：挂载、布局与可配置化实践

Vue input 输入框关键字搜索筛选列表与性能优化

项目型技术博文创作规范与安全边界

车载以太网测试知识地图：链路、AVB协议与工具链

语义事件图：长视频问答的证据组织与图检索实践

今日更新

猫狗目标检测数据集：VOC/COCO/YOLO三格式一体化实战包

HDU2017多校标程复现：算法竞赛工程化真题沙盒

Codex Sandbox 隔离环境拆解：AI Agent 的临时实验室如何运作

本周精选

防幻觉智能体架构：电源硬件设计中的大模型编排与工具化实践

OpenGL面试核心考点：渲染管线、矩阵变换与性能排查全解析

全国计算机二级C语言真题PDF高效刷题指南

本月热门

我发现了一个新思路：用 Remotion + Claude Code 像写代码一样自动化生成短视频

Windows下 Codex 中 Chrome 和 Computer Use 插件不可用问题排查及解决参考方式：TaoToken 统一 Key 配置与验证

2026 大模型集体涨价：用 Python 做企业 Token 成本测算与选型避坑（附配置）

读完文章，想聊聊您的网站？