重大突破！AI辅助工具首次在实际环境中发现零日漏洞

 

近日，美国AI安全厂商Protect AI的研究人员推出了一款名为Vulnhuntr的免费开源工具，该工具利用Anthropic的Claude AI模型，在Python代码库中成功发现了零日漏洞。这一突破性的成果标志着AI辅助工具首次在公开项目中实际环境中发现零日漏洞。

 

从工作原理上看，它不仅仅是对代码进行简单的扫描和分析，而是会自动寻找那些可能处理远程用户输入的项目文件。随后，Claude AI模型会深入分析这些文件中的潜在漏洞。每个潜在的漏洞都会经过一个高度优化循环分析，Claude会智能地不断请求代码中的其他函数、类或变量，直到完整分析用户输入到服务器输出的整个调用链，这种方法能够揭示复杂的多步骤漏洞。

 

据Protect AI的首席AI威胁研究员介绍，Vulnhuntr已经成功在多个大型开源Python项目中发现了十几个此前从未被发现也未报告的零日漏洞。这些漏洞涵盖了七种可远程利用的漏洞类型，包括任意文件覆盖（AFO）、本地文件包含（LFI）、服务器端请求伪造（SSRF）、跨站脚本攻击（XSS）、不安全的直接对象引用（IDOR）、SQL注入（SQLi）和远程代码执行（RCE）。

 

同时，Vulnhuntr的使用也相当便捷，用户只需在GitHub上下载该工具，并按照说明进行操作即可。但是，Vulnhuntr也存在一些局限性，它目前仅适用于Python代码，并依赖Python静态分析器。因此，在扫描包含其他语言代码的项目时，误报的可能性会增加。