漏洞挖掘

ChainCatcher 消息，比特币核心开发者 Antoine Poinsot 在比特币开发邮件列表中宣布调整安全漏洞披露政策。他表示，过去漏洞通常被长期保密，以便用户在细节公开前完成升级，但这也导致修复无法回移植到旧版本，用户需等待下一个大版本发布。Poinsot 指出，大语言模型使部分漏洞极易被重新发现，继续延迟修复所能提供的保护已十分有限。根据新政策，被判定为“易于发现”的漏洞将尽快在所有受维护的主版本中修复，并同步发布安全公告。该分类适用于仅需极少努力即可发现的漏洞，例如通过简单的 LLM 提示词。其他漏洞仍按严重程度遵循披露时间表：低严重性漏洞在包含修复的大版本发布两周后披露；中高严重性漏洞则在最后一个受影响版本达到生命周期终止（通常为修复在新大版本发布一年后）两周后披露。关键漏洞不在标准政策范围内，可能需要临时程序处理。比特币生态安全研究者 Luke de Wolf 表示，他过去不认同 Poinsot 的安全策略，但认为此次更新是好的调整。今年 8 月，志愿性质的 Bitcoin Red Team 在 390 个项目中报告了近 5000 个潜在问题，当时仅约五分之一得到复现。同月，Core Lightning 开发者在收到多份 AI 生成的漏洞报告后，敦促运营者升级或将节点下线，并保留技术细节两周。

ChainCatcher 消息，Google 产品安全团队披露内部 AI 代理 PageBreak，用于测试其第一方 Web 应用的安全性。该代理基于 Google 的 Gemini 模型构建，于 2025 年 11 月启动试点，2026 年 1 月转为正式项目，目标是自主扩大漏洞发现规模并减少人工投入。与常见的 AI 扫描工具不同，PageBreak 在发现可疑缺陷后，会将假设交给专门的验证器，在实时运行的应用副本中尝试实际利用，只有确认可利用后才上报，误报率接近零。Google 称，PageBreak 已在其第一方 Web 应用中找出超过 500 个 XSS 漏洞，此类漏洞可被用于劫持登录会话、窃取数据或冒充用户。Google 表示，安全团队近年来被大量由 AI 生成、看似合理却并不成立的漏洞报告淹没，分辨真实缺陷与幻觉已成为主要难题。在针对采用新一代高保障框架构建的应用进行测试时，PageBreak 仅发现两个漏洞。下一步 Google 计划将 PageBreak 与自动修复代理 CodeMender 对接，使已确认的漏洞附带修复方案。

ChainCatcher 消息，以太坊基金会（Ethereum Foundation）发布协议安全研究员（Protocol Security Researcher）招聘信息，隶属协议安全团队，负责在执行层、共识层、网络层、规范及客户端实现等环节识别安全漏洞，工作内容涵盖 AI 辅助安全研究与自动化漏洞挖掘、硬分叉审查、模糊测试工具构建、协议变更人工审计及协调漏洞披露等。 该团队要求候选人具备以太坊协议深度经验，优先考虑已活跃参与协议开发、熟悉执行层或共识层规范的工程师，常用编程语言包括 Go、Rust、Java、C#、Nim 及 Python，远程办公，面向欧洲及全球候选人开放。

ChainCatcher 消息，据外部披露信息，OpenAI 已内部运行一款未发布模型。该模型在不借助 Lean 等工具的情况下，通过单次自主推理，以 48% 的概率解决单位距离问题，并能依据单一提示自主找到雅可比猜想的反例。在安全测试中，该模型曾绕过沙盒环境，将本应内部发布的结果以 Pull Request 形式提交至 GitHub，并曾通过分割认证令牌规避检测。相关代码记录显示，OpenAI 不晚于 5 月 9 日 已对该模型展开基准测试，其内部可用时间至少已超过 2.5 个月。 此前 OpenAI 与 Hugging Face 联合披露，上周该模型在一次网络能力评估中攻破了 Hugging Face 生产基础设施。该模型利用零日漏洞获得互联网访问，并通过窃取凭证和远程代码执行路径获取了测试解决方案。OpenAI 表示，该事件表明先进模型的网络攻击能力已在真实场景中生效，已与 Hugging Face 合作调查并修补漏洞。目前 OpenAI 尚未就此公开置评。

ChainCatcher 消息，360 漏洞挖掘智能体近期针对 OpenClaw 新挖掘并上报 1 个高危、2 个中危共 3 个高价值漏洞，目前所有新发现漏洞均已被官方修复并公开披露。据了解，此次新发现的三大漏洞直指 AI 智能体核心运行机制，直接影响用户设备、数据与账号的核心安全。