OpenAI 和 Anthropic 零发现，AISLE 挖出 6 个 curl CVE
Six curl CVEs after OpenAI and Anthropic came back with zero
在 OpenAI 的 Codex Security 和 Anthropic 的 Mythos 均报告对 curl 零漏洞发现后，AISLE 的自主 AI 系统在短短几天内识别出 6 个新 CVE。curl 创始人 Daniel Stenberg 公开了这一对比：前沿 AI 模型显示空结果，而 AISLE 提交了 29 份报告，其中 6 个被确认为严重漏洞并分配了 CVE 编号。这些漏洞涉及 OpenSSL 和 wolfSSL 等关键组件，均已在 curl 8.22.0 中修复。Linux 稳定版维护者 Greg Kroah-Hartman 也观察到类似现象，表明 AISLE 在真实世界零日漏洞发现中展现出独特优势。
在 curl 上，结果是六比零。
HN 评论区
65- melvinroest
Wow, this announcement is good content marketing.
别误会，这确实挺有意思。但文章里完全没有技术层面的讨论，没提他们具体是怎么做到的。通篇就是：我们做到了，而 Mythos 和 Codex 没做到。
知道这事儿可行固然不错，但我本来就有这个预期。拿一个基础模型和一个“基础模型 + 框架 + 其他东西”去比，只要操作得当，后者当然能构建出更强大的漏洞发现系统。
> 随后，我们让 AISLE 的自主 AI 系统对 curl 进行了测试。
他们甚至都没提底层用了什么模型。要是他们用的模型来自 Anthropic 或 OpenAI，我一点都不会惊讶。
- rwmj
我们收到过几份 AISLE 生成的安全报告，信噪比还算不错。
他们的扫描器发现的最值得注意的 bug/exploit 是：https://gitlab.com/nbdkit/libnbd/-/commit/e50bbd2681117c2dd8...
这个工具基本上是把两个 exploit 串联起来才触发了这个问题。它还给出了一个修复补丁，思路相当合理（不过我后来为了更清晰又手动改了一版）。
- markasoftware
既然 AISLE 报告了 29 个问题，但只有 6 个值得分配 CVE，而且所有发现的 CVE 都是“低”严重性，这让我怀疑 AISLE 是不是单纯被调优成了更高的误报率（而 Anthropic 和 OpenAI 的工具可能也发现了同样的 6 个问题，只是决定不报告）。
- graemep
curl 似乎成了演示 AI 发现漏洞的热门靶子。
照这样下去，curl 迟早会变得固若金汤。
- janaagaard
跟文章内容完全无关，但标题里的那个 ft 连字看起来挺怪异的，像来自另一种字母表的字符。也许正因如此，这反而有点酷了。