智能体不只是能写代码、能客服，它现在还能把一段漏洞线索，在几分钟里变成可运行的攻击代码。这个变化正悄悄改写开源世界沿用了几十年的安全披露规则。剑桥大学计算机教授、OCaml 编译器核心维护者 Anil Madhavapeddy 最近把这事讲得很直白：传统流程靠「把技术细节保密一段时间」来保护用户，可 agent 能从零星线索里独立把漏洞研究出来。他自己的经历就是例子——有一次他开一个拉取请求去修路径遍历漏洞，结果修复 PR 刚公开，服务器日志里就出现了和这个漏洞模式完全吻合的探测请求，前后不过几分钟。
从「七天禁运」到「几分钟失效」
支撑这种体感的是一组研究数据：在一个 15 个漏洞的基准上，给 GPT-4 agent 看 CVE 描述，它能利用其中 87% 的漏洞；不给他看描述，成功率掉到 7%。也就是说，公开可得的线索，正是 agent 把「已知弱点」变成「实际影响」的燃料。Chainguard 的 Adrian Mouat 点出了维护者的两难：你开个 PR 修问题，反而把项目和用户置于被动——攻击者在更新版本发布前就已经能造出并利用漏洞了。用户什么也做不了，只能干瞪眼。
牵连比想象中更近
这件事对普通开发者的牵连比想象中近。你给自己常用的 SaaS 接一个 agent，让它读邮件、查 CRM、改文档，这些连接在配置那一刻就生成了一堆非人身份的权限。过去这类凭据由人管、人审、人注销；agent 把三步假设一起打破——它不发工单、不等审批、也不在你离职时归还密钥。披露规则失效只是表象，根子是身份与权限的旧模型，碰上了会自己繁殖、自己行动的机器。把防护前移，本质是在给非人身份补一套人类早就有、却从没认真给机器做过的注销与最小权限纪律。
披露量正在失控
rclone 项目创始人 Nick Craig-Wood 给了更刺眼的数字：项目头十年通过 GitHub 收到的安全披露约 20 份，而最近一个月就处理了超过 40 份——即便他已经用 agent 帮忙做分类和起草修复方案。QEMU 则直接缩短了漏洞禁运期，以应对越来越快、越来越自动化的发现。Madhavapeddy 提了三条缓解思路：把漏洞讨论转到私密渠道、用更快的持续发布代替长周期、以及在协议层做短期凭据和可撤销的能力控制，让危险操作能远程禁用，而不必等每个客户端都升级。
防守要往前挪
云安全联盟（CSA）的调查给这事加了底色：只有约两成组织有正式的 API 密钥注销流程，而每 20 个非人身份里就有 1 个握有完全管理权限。agent 时代，非人身份的数量和速度都远超人类，旧的那套「人登录、人审批、人注销」的假设被一举打破。对维护者而言，现实的应对是把防护前移：默认最小权限、给 agent 发短期可撤销的凭据、在工具层而非提示词层做路径与目的地白名单。披露经济学已经反转，谁先把「边修边暴露」的窗口压到最小，谁就少挨几刀。目前官方及行业暂未披露更多细节，后续将持续跟进迭代动态。
把这件事和近期 agent 安全的研究、融资放到一起看会更清楚：当漏洞线索能被秒变利用代码（见 AgentXploit 一类自动化红队），当防守端也在用 agent 做常驻渗透（见本轮 Hadrian 融资），开源社区的披露规则迟早要重画。这不是 agent 的错，而是「发现」的成本被压到了地板，流程还没跟上。