开源项目的安全问题现在在补丁公开讨论后几分钟内就可能遭到主动利用，这得益于能从极少线索中快速定位漏洞的AI编程代理。这种快速利用现状使得传统的开源漏洞披露流程已不适用，例如rclone项目一个月内收到超过40起安全披露，而此前十年仅有约20起。
背景
传统开源安全 embargo 流程通常允许厂商在数天至数周内准备补丁，再对外公开。AI编程代理正将这一周期压缩至分钟级，从根本上破坏了负责任的漏洞披露规范。
- 来源
- Simon Willison
- 发布时间
- 2026年8月29日 06:12
- 评分
- 7.0 / 10