AI 代理顛覆開源資安：OCaml 漏洞討論 10 分鐘內遭探測，GitHub CVE 審查期暴增至 4 週

劍橋大學教授兼 OCaml 核心維護者 Anil Madhavapeddy 指出，目前 OCaml 專案的修補程式在公開討論約 10 分鐘內，就會遭到自動化監控程式探測漏洞。他實測發現，現代 AI 程式代理僅需微小線索即可找出漏洞；在 Claude Fable 因安全限制拒絕執行該任務後，他成功使用 DeepSeek V4 Pro 完成驗證。Madhavapeddy 警告，這種極快的漏洞發現速度，已使現有的開源漏洞保密機制（embargo practices）面臨失效。 rclone 維護者 Nick Craig-Wood 亦證實此現象，該專案過去 10 年僅收到約 20 件 GitHub 資安通報，但上個月就暴增至逾 40 件，其中約 75% 確實包含需要處理的問題。大量由 AI 輔助生成的通報也導致 GitHub CVE 分配嚴重塞車，處理時間從原本的 2 至 3 天大幅延長至 3 到 4 週，迫使開發者只能在更新日誌中標註 CVE-PENDING 發布新版本。