Exploitarium:AI驱动的0day漏洞揭露与网络安全新挑战
近期,一位匿名安全研究员以Bikini为网名,在GitHub平台上创建了名为Exploitarium的项目仓库,公开发布了针对多个主流软件的0day漏洞PoC(Proof of Concept)代码。这一举动迅速引发了网络安全界的广泛关注。根据公开资料显示,该仓库目前已包含31个漏洞目录,其中12个漏洞已获得CVE编号。这些漏洞涉及的软件包括7-Zip、AnyDesk、curl、Docker、Firefox、FFmpeg、Ghidra、Gitea、Gogs、ImageMagick、libssh2、MyBB、Nmap、OpenVPN、PHP、QEMU、RustDesk和VLC等广泛使用的开源和商业软件。Bikini在项目描述中透露,他通过GPT-5.3等先进AI模型进行了大规模的模糊测试(Fuzzing),并结合自动化工作流程来发现这些漏洞。尽管AI在漏洞发现过程中发挥了重要作用,但Bikini强调,最终的PoC代码都是由人工编写完成的。
在处理RustDesk相关漏洞时,他还利用了AI的辅助功能。此外,所有的README文件都是由AI生成的,但Bikini进行了人工验证以确保内容的准确性。这一项目的出现引发了网络安全界的广泛讨论。支持者认为,公开漏洞有助于提高软件供应商的安全意识,促进漏洞修复的加速。然而,批评者则指出,未经供应商确认的漏洞公开可能会给用户带来安全风险。特别是,Bikini在公开漏洞时并未提前通知相关软件开发团队,这一做法与传统的负责任披露(Responsible Disclosure)原则相悖。
值得关注的是,Exploitarium中的部分漏洞并非Bikini的原创发现。例如,CVE-2026-55200漏洞最初由安全研究员Tristan Madani发现,而Bikini在仓库中发布的PoC代码实际上是基于已有的漏洞信息。这一现象引发了关于漏洞信息来源和归属的争议。此外,CVE-2026-58053漏洞涉及Gitea的CI/CD工作流,攻击者可以通过该漏洞获取root权限,这一漏洞的CVSS评分高达9.4,属于高危漏洞。尽管Bikini声称其目的是为了吸引更多人才加入网络安全领域,但安全专家Ethan Andrews指出,这些漏洞已被黑客用于实际攻击。他建议使用KQL规则来监控Exploitarium中的漏洞,以防范潜在的安全威胁。
然而,目前尚未有大规模攻击的证据。与其他公开0day漏洞的研究员不同,Bikini并未针对特定组织或公司,而是希望通过公开漏洞来推动网络安全技术的发展。他表示:"请不要将这些材料用于恶意目的。我这样做是为了吸引更多人进入这个领域,我一直认为这是最有效的方式。"Exploitarium的出现不仅反映了AI在网络安全领域的应用潜力,也揭示了当前漏洞披露机制中的伦理争议。随着AI技术的不断发展,未来可能会有更多类似的项目出现。
如何在保护用户安全与促进技术进步之间取得平衡,将成为网络安全界需要深入探讨的重要课题。 。
