Anthropic最新推出的AI安全分析模型Mythos近期引发广泛关注，该公司称其在发现源代码安全漏洞方面表现异常出色，甚至因此暂缓公开发布。然而，当Mythos被用于扫描全球最广泛使用的开源命令行HTTP工具curl时，结果却出人意料——在17.6万行代码中，仅确认发现1个低危漏洞。
今年4月，Anthropic宣布其新模型Mythos“危险地擅长”发现源代码安全漏洞，以至于不打算立即公开发布，而是通过"Project Glasswing"项目向部分公司和开源项目有限开放，以便在公众使用前先修复最紧迫的问题。这一表态在业界引发轩然大波，被视为“成功的营销噱头”。
curl项目创始人Daniel Stenberg作为开源项目负责人之一，通过Linux基金会的Alpha Omega项目获得了Mythos的扫描机会。curl是目前全球使用最广泛的网络传输工具之一，安装量超过200亿次，运行在110多个操作系统和28种CPU架构上，从智能手机、汽车到服务器无处不在。
curl代码库堪称C语言安全工程的标杆：
Mythos扫描了curl源码库master分支的src/和lib/目录，共计17.8万行代码，覆盖了所有主要协议（HTTP/1/2/3、FTP）、TLS后端验证路径、认证机制、内容编码、连接复用等关键模块。
Mythos报告最初声称发现了“5个已确认的安全漏洞”。然而，curl安全团队经过数小时的深入审查后，这一数字被大幅削减：
Stenberg在博客中略带调侃地写道：AI自己说“已确认”，但curl安全团队有不同的看法。
值得注意的是，curl项目此前已使用多款AI安全工具进行扫描，包括AISLE、Zeropath和OpenAI Codex Security。这些工具在过去8-10个月内帮助curl修复了200-300个bug，其中确认的漏洞已发布为十余个CVE。
Stenberg总结道：“从发现问题数量来看，我们之前使用的AI工具带来的修复量更大。这很正常——第一批工具发现的都是更容易找到的bug。随着问题被逐步修复，发现新问题变得越来越难。”
Mythos在报告中正确地指出：“curl是现存被模糊测试和审计最多的C代码库之一，在热门路径（HTTP/1、TLS、URL解析核心）中发现问题几乎不可能。”结果也证实了这一点——这些关键区域确实没有发现漏洞。
Stenberg认为，AI代码分析工具相比传统静态分析器有显著优势：
但他同时强调：“AI工具发现的仍然是已知类型的错误，只是找到新的实例。我们尚未看到AI报告过全新类型的漏洞。”
Stenberg的个人结论直言不讳：“围绕这个模型的大肆炒作主要是营销。我没有看到证据表明这个模型比其他工具能发现更高级或更复杂的问题。也许它稍微好一点，但即使如此，程度也不足以在代码分析领域产生显著影响。”
不过他也重申：“AI驱动的代码分析器在发现源代码安全缺陷方面，确实显著优于过去的传统分析器。任何尚未使用AI工具扫描代码的项目，都很可能发现大量漏洞。”
curl项目的经验表明，良好的安全工程实践——包括capped dynbufs、显式数值解析上限、溢出保护、格式字符串强制检查、协议响应大小限制等防御性基础设施——能够系统性地消除传统上容易出问题的bug类别。
微信关注我们
转载内容版权归作者及来源网站所有！
低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。
为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。
Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。
Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。
Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。
扫码在手机上查看文章
扫描二维码，手机阅读更方便
有任何问题或合作意向欢迎联系我们
Email: 99873273@qq.com
QQ: 99873273