剑桥大学计算机科学教授Anil Madhavapeddy报告，OCaml项目的安全补丁在共享讨论约10分钟内即遭遇探测；rclone维护者称一个月内收到超40份安全披露，GitHub CVE分配时间从2-3天延至3-4周。
AI解读：这条新闻的核心是：AI编码智能体已经快到能从“补丁讨论的只言片语”推断出漏洞位置并立即发起攻击。对开源项目维护者来说，这意味着过去“先讨论、再发布、给社区缓冲”的安全流程彻底失效了——补丁还没正式发布，攻击者已经用自动工具找上门。剑桥教授和rclone维护者的数据很直接：OCaml项目在补丁讨论后约10分钟就收到探测请求；rclone过去十年约20份披露，上个月就超过40份，GitHub分配CVE标识的时间也从2-3天拖到3-4周，导致发布版只能标注“CVE待定”。对开源维护者而言，最紧迫的变化是：必须重新设计安全问题的私密讨论和披露流程，比如使用隔离仓库或限制补丁的公开讨论范围；普通用户暂时不需要恐慌，但应在项目发布安全更新时优先尽快升级，尤其涉及文件遍历、远程代码执行这类高危漏洞的项目，补丁发布前的窗口期变得极短。
剑桥大学计算机科学教授、OCaml编译器核心维护者Anil Madhavapeddy在一篇博文中报告，OCaml项目的安全问题在补丁共享讨论后约10分钟内就出现利用尝试的迹象。他称，这一速度显示自动监控者正盯着公开代码仓库，现代编码智能体已能仅凭“新bug的最细微提示”找到并利用漏洞。
OCaml补丁讨论后10分钟内遭探测
Madhavapeddy在8月28日的博文中写道，其网站在补丁共享后“大约十分钟”内就收到了针对百分号编码路径遍历序列的探测。他表示，这类问题通常需要几天时间才会出现利用尝试，合理的发布周期是一到两周。他用自己的智能体复现了这一过程，并在Claude Fable拒绝任务后切换到DeepSeek V4 Pro完成演示。
Madhavapeddy指出，这种发现速度与现有的开源问题保密（embargo）实践“不相容”。他说：“如果一个问题能在如此短时间内变成可利用漏洞，我们需要找到新流程来保护社区安全。”
rclone披露量激增，CVE分配延迟至3-4周
rclone维护者Nick Craig-Wood在Hacker News评论中证实其项目遇到同样问题。他称：“在rclone项目头10年，我们通过GitHub收到约20份安全披露。过去一个月我们就处理了超40份！即使使用AI工具进行分诊和提出修复供审查，也耗费了我大量时间。”
Craig-Wood表示，这些披露的命中率较高，“约75%包含需要查看的内容”。他还报告GitHub分配CVE标识的速度明显变慢：“在AI时代之前，分配需要2-3天；现在需要3-4周，所以我不得不在点版本发布时在变更日志中标注‘CVE-PENDING’，这并不理想。”