AI半年揪出2.9万漏洞，Claude助curl修复高危隐患

10月14日，网络传输工具curl发布8.23.0版本，修复了一个由AI参与发现的高危漏洞。官方安全公告致谢的报告者为“Luna with Claude, Anthropic”，随后curl开发者Stefan Eissing完成修复。用户升级到已修复版本即可补上该漏洞。AI参与找漏洞、开发者修复、团队发布更新的流程已经走通。

10月8日，Anthropic推出OSS Scanner，调用包括Claude Mythos在内的最强模型，为符合条件的关键开源项目免费定期扫描。它交给维护者的不只是问题提示，还包括漏洞解释、复现材料以及可用时的候选补丁。但报告是否准确、补丁能否使用，仍由维护者把关。

curl是开发者常用基础工具，其底层库libcurl被大量软件用于传输数据。curl官方估算，2025年全球约有300亿个安装实例。创始人Daniel Stenberg在2026年10月披露，已有1545人为curl提交过代码，通常每年有超过150人参与贡献。

此次修复的CVE-2026-92392被评为高危，问题出在HTTP/2上传过程中：一块内存已经释放，curl却继续使用，属于“释放后使用”。curl官方确认，恶意服务器在满足特定条件后可利用该漏洞实现远程代码执行。但触发条件不少，攻击者需掌握curl具体版本、运行环境和内存使用情况，并卡准多个传输任务同时运行的时机。从收到报告到发布更新，curl团队用了29天。Anthropic公告引用Daniel Stenberg的评价称，OSS Scanner帮助发现多个需要处理的问题，其中包括近年来收到报告的最严重漏洞之一。

OSS Scanner的每份报告包含漏洞解释和可独立运行的复现材料；条件允许时，还会追溯问题由哪次代码改动引入，并附上候选补丁。补丁并非每份都有，能否使用也需维护者检查。OpenSSL Corporation的Anton Arapov表示，报告附带能触发漏洞的程序，工程师可直接验证问题。PostgreSQL的Noah Misch称，部分补丁几乎可直接使用，提前收到报告也帮助团队赶在正式版发布前修复问题。

更多开源项目可申请免费扫描，但需满足条件：项目对基础设施和用户安全有重要影响。核心维护者通过GitHub提交项目配置和构建文件后，Anthropic会核验申请者身份、报告接收人及扫描代码范围。系统先在隔离环境中联网完成构建，再断网检查代码，最后通过邮件发送报告。维护者可随时申请暂停或退出。

Anthropic公布的早期抽检结果显示，专业渗透测试人员检查48个项目中的97项严重及高危发现，其中85项达到披露标准，11项是真实但重复的问题，仅1项无效。wolfSSL收到74份报告，其中72份有效，5项成为CVE，附带补丁也进入团队原有验证与修复流程。Anthropic承认，有些报告会高估问题严重程度，或没搞清项目原有权限限制，维护者仍需确认问题是否存在、是否为新发现、实际影响多大。

OSS Scanner报告由AI生成，发送前不经安全专家逐份审核。Anthropic称，过去六个月发现超过2.9万个候选漏洞，人工只完成约6000项审查与分流，人工验证已跟不上AI提交线索的速度。一些维护者主动要求发送未验证报告，Anthropic已按要求发送近5000份。这些未经人工验证的自动报告目前不设“90天后公开漏洞”期限，维护者可据风险和人手安排验证与修复；若后续通过人工验证并进入正式披露流程，则从通知维护者已验证时起按相应政策计时。

curl已完成一次从报告到修复的流程，接下来要看此类成果能否持续出现，相关应用能否及时跟进更新。