一、结论先行
上周不是单个漏洞，而是一次“多生态、多披露窗口”的叠加。 PHP 语言、Brotli 压缩库、BIND DNS 服务、EDK II 固件、Postiz 平台、curl 客户端库在同一周集中披露高危问题；GitLab 10.0、LiteLLM 供应链攻击、eMudhra CA 事件进一步放大了“Black October”的叙事。
真正有公开证据显示 AI 直接参与的，是 PHP2Shell、Brotli/HTTP2Shell 和 curl 三组问题。 BIND、EDK II、Postiz 的发现者来自 OpenAI/Anthropic，但公开 CVE 记录没有说明他们使用了 AI；这三组应归为“AI 实验室员工发现”，不能直接当作“AI 挖洞”的证据。
上周这批 AI 相关漏洞中，唯一已确认在野利用、并进入 CISA KEV 的是 PHP2Shell。 影响 PHP 5.4–8.5，官方 CVSS 9.2；PHP 官方于 10 月 21 日发布 8.2.35/8.3.36/8.4.27/8.5.12，CISA 于 10 月 26 日将其列入 KEV，联邦机构须在 10 月 29 日前完成修复。
EDK II 是风险最高但最容易被忽视的一项。 CVSS 9.5、PXE 启动阶段的预启动 RCE、可绕过 Secure Boot/measured boot，而且截至公告发布时“尚无补丁”。它不需要应用层漏洞，只需要目标在不可信网络中 PXE 启动。
Brotli/HTTP2Shell 展示了“一个库影响多个语言生态”的典型路径。 同一 CVE 波及 Node.js、Python 的 requests/httpx/urllib3、.NET、FFmpeg、ClickHouse、Apache Arrow 等；上游修复代码 2 月已进仓库，稳定版直到 10 月 21 日才发布。
“发现”已经不是瓶颈，“验证、修复、部署”才是。 Anthropic 的 CVD 仪表盘显示已披露 6,157 个漏洞、仅 516 个完成上游修复；VulnCheck 截至 9/21 跟踪的 225 个 Glasswing CVE 中只有 1 个被在野利用；1Password 对 6,080 个 AI 生成补丁的分析显示仅 26% 完全修复，54% 失败或引入新问题。
“AI 找到的 CVE”数量存在归属膨胀。 Securin 追踪的 597 个 AI 相关 CVE 中，166 个为自主发现、190 个为人机协作、178 个只是“AI 实验室员工”且来源未说明使用 AI，另有 14 个未说明、49 个没有公开归属证据。上周 9 个 AI 归属 CVE 中，只有 4 个有明确 AI 使用证据。
二、上周时间线（10/17–10/27）
10/17：AWS 威胁情报在 MadPot 蜜罐中首次看到 PHP2Shell 利用尝试，比公开披露早 4 天。
10/20：PHP 项目提前发布预公告；curl 公开 CVE-2026-107928；Chrome/Firefox 开始吊销 eMudhra 弱中间 CA。
10/21：PHP 发布紧急补丁；GitLab 修复 CVSS 10.0 的 CVE-2026-110264；Node.js 发布安全版本（含 Brotli CVE-2026-111497）；ISC 公开 BIND 9 CVE-2026-94300；LiteLLM v1.107.0 被投毒。
10/22：Brotli/HTTP2Shell 公开披露；EDK II 公开 CVE-2026-97631；VulnCheck 发布可绕过 ASLR 的 PHP2Shell RCE 利用；英国数十个政府服务临时下线。
10/23：Postiz 公开 CVE-2026-115931；PHP 基金会披露第三枚 PHP RCE（CVE-2026-115560），仅提供缓解、不紧急修复。
10/24：Postiz 再公开 CVE-2026-115932/115933；Perplexity 蜜罐记录到 PHP2Shell 的真实 RCE 证据。
10/25：微软为 .NET 发布 Brotli/HTTP2Shell 紧急补丁。
10/26：CISA 将 PHP2Shell 两枚 CVE 列入 KEV，联邦机构 10/29 前修复。
10/27：第三方 AI-CVE 追踪器更新；本报告截稿。
_bb635494-5000-4f4d-8746-b8c3723e868e.png)
图 01 · 上周时间线（§二）
三、上周 AI 相关高危漏洞清单
同周非 AI 归属、但同级别的高危事件（用于对照，不计入 AI 战绩）：
_996c0699-9bc3-4457-8c71-3ea9afdd5b9e.png)
图 02 · 9 个 AI 归属 CVE 矩阵（§三）
四、逐项深挖
4.1 PHP2Shell：语言级内存安全问题的“总爆发”
事实。 PHP 官方于 10 月 21 日发布 8.2.35、8.3.36、8.4.27、8.5.12，修复 CVE-2026-109618 与 CVE-2026-109619。两者都位于 PHP 几乎每个请求都会经过的内存管理与错误处理路径：一个是 OOM 时 longjmp() 留下的未初始化请求内存，另一个是请求结束后仍指向已释放请求内存的全局状态。攻击者可以通过多请求、OOM 策略等组合触发远程代码执行。PHP 官方 CVSS 为 9.2，watchTowr 给出 10.0；影响范围覆盖 PHP 5.4–8.5，PHP 7.4/8.0/8.1 只有源码补丁、没有官方二进制。
AI 如何参与。 这不是“一个模型一键挖洞”的故事，而是多方 AI 辅助研究的合流：
OpenAI 的 Patch the Planet 项目中，Calif 的 Ryan Austin 于 8 月 1 日用 GPT-5.6 Sol 找到第一条路径；
Wiz 于 8 月 19 日用 Gemini 4 Argon、GPT-5.6 Sol 和自研 Wiz Atlas 独立发现同类问题；
8 月 11 日 Calif 报告无条件 RCE，OpenAI 独立复现同一根因，9 月 18 日补充攻击向量，Wiz 8 月 24 日补充；
PHP 基金会此前已用 Anthropic Claude Mythos 扫描过 PHP，并用 OpenAI Daybreak Red 验证报告与利用。
影响与利用。 PHP 被 W3Techs 估计用于约 70% 已知服务端语言的网站；Palo Alto 估计 2,260 万个潜在暴露实例，VirusTotal 估计 510 万个 PHP 主机在线、380 万个至少有一个开放端口。AWS 在 10 月 17 日、公开披露前 4 天就看到了利用尝试；Cloudflare 在披露后 45 分钟看到数万次尝试，2 小时内数十万次，当晚达到数百万次。10 月 24 日 Perplexity 蜜罐确认了针对 Apache mod_php 8.4.26 的真实 RCE。CISA 于 10 月 26 日将两枚 CVE 列入 KEV，要求联邦机构 10 月 29 日前修复。
披露过程并不顺利。 10 月 20 日 CVE 编号与错误评分提前泄露；Calif 误发 PoC 视频；Chainguard 在协调发布前 6 小时单方面发布含修复的镜像，使攻击者可以研究二进制补丁。PHP 基金会公开承认：修复延迟的部分原因是 2024 年已发现 OOM 问题，但安全团队在多种修复方案之间无法达成共识、且缺乏资源。
第三枚 PHP RCE。 10 月 23 日 PHP 基金会为 CVE-2026-115560 发布信息性公告：需要“非常不可能的配置组合”，可通过 session.upload_progress.enabled=0 缓解，不发布紧急补丁，留待下一次常规版本。它不应与 PHP2Shell 的暴露面混为一谈，但说明 PHP 生态的同类问题还在继续被发现。
处置建议。 升级到 8.2.35/8.3.36/8.4.27/8.5.12；EOL 版本应用源码补丁或迁移；无法立即升级的，至少设置 session.upload_progress.enabled=0，并在 WAF/代理层限制异常请求；按“已在野利用”对待，检查 webshell、异常子进程、异常 OOM 与请求日志。不要依赖 ASLR 或 display_errors=off 作为防护——VulnCheck 已展示绕过 ASLR 的利用。
_bb02b0e8-2fdb-4c18-a4c7-709ef10ce526.png)
图 03 · PHP2Shell 利用速度（§4.1）
4.2 HTTP2Shell / Node2Shell：一个 Brotli 库，穿透多个语言生态
事实。 CVE-2026-111497 是 Google Brotli 解码器 c/dec/decode.c 的越界写（CWE-787）。畸形压缩流触发无效 block switch，解码器误判为“需要更多输入”，持续向 8 字节内部缓冲区追加数据，最终写穿相邻内存。影响 Brotli 1.0.3–1.0.9、1.1.0、1.2.0；官方 CVSS 9.2，Red Hat 按 8.1 计，Node.js 安全公告按 High 计。
影响面。 它不只影响 HTTP。Node.js 的 node:zlib 内置 Brotli；Python 的 urllib3[brotli]、requests、httpx、aiohttp[speedups] 可能受影响；.NET、FFmpeg、ClickHouse、Apache Arrow 等使用 Brotli 解码器的软件也在影响范围内。攻击者只需要让目标解压一段恶意 Brotli 数据——可以是 HTTP 响应、请求体，也可以是媒体/数据文件。
AI 如何参与。 Node.js 安全公告明确感谢 “OpenAI Codex Security - Khai Tran and Sylvie Mayer” 报告该漏洞。Codex Security 是 OpenAI 的 AI 应用安全代理（前身 Aardvark），会分析项目上下文、检测并验证漏洞、提出补丁。第三方追踪器把这条归为“Lab staff”，是因为 CVE 致谢写的是人名；但从工具属性看，它是本周最明确的“AI 安全代理发现并报告”的案例之一。
修复与利用。 上游 Brotli 修复为 1.0.10、1.1.1、1.2.1；Node.js 修复为 22.23.4、24.22.1、26.12.1；Python Brotli 1.2.1；微软在 10 月 25 日为 .NET 发布紧急补丁。BleepingComputer 10 月 26 日称已有 PoC，但暂无恶意利用报告。值得注意的是，上游修复代码 2 月已进入仓库，稳定版直到 10 月 21 日才发布——这是一次典型的“修复滞后于发现”的案例。
处置建议。 升级所有自带 Brotli 的运行时和容器镜像；只升级系统 brotli 包不够，Node.js、.NET、Python wheel、FFmpeg、ClickHouse、Arrow 可能各自捆绑；无法立即升级时，移除 Python 的 Brotli 支持或在代理/防火墙层拦截入站 Content-Encoding: br，但这不能消除“客户端解压恶意响应”的路径。
_cbfe0940-96d6-4ddb-9e19-bb187048f1a9.png)
图 04 · Brotli 一库穿透多生态（§4.2）
4.3 BIND 9：DNS 基础设施的 GSS-TSIG 内存破坏
事实。 CVE-2026-94300 影响 BIND 9.11.0–9.18.50、9.20.0–9.20.29、9.21.0–9.21.26，以及 9.11.3-S1–9.18.50-S1、9.20.9-S1–9.20.29-S1。攻击者重放一条已签名的 GSS-TSIG UDP 消息，再向自己控制的 zone 发送精心构造的查询，可造成 named 内存破坏，进而潜在 RCE。CVSS 8.1，利用需要“能捕获有效签名消息 + 协商密钥仍有效 + 可控 zone”等条件。ISC 表示没有已知在野利用、没有 workaround，修复版本为 9.20.30、9.21.27、9.20.30-S1。
AI 归属。 CVE 致谢写的是 “Dave Aitel from OpenAI” 独立发现并报告；ISC 说该问题也在内部测试中出现。公开记录没有说明 Dave Aitel 是否使用了 AI 工具，因此只能归为“AI 实验室员工发现”，不能当作 AI 自主挖洞。这个区分很重要：如果把它计入“AI 战绩”，就会高估当前 AI 的自主能力。
处置建议。 升级到修复版本；不需要 GSS-TSIG 的环境直接禁用；限制 GSS-TSIG 到可信 zone/client；由于没有 workaround，暴露在互联网的 BIND 应优先处理。
4.4 EDK II：没有补丁的预启动 RCE，风险最高
事实。 CVE-2026-97631 位于 EDK II 的 NetworkPkg/UefiPxeBcDxe。机器通过 IPv4/IPv6 PXE 启动时，PXE Base Code 驱动会持续接收 ICMP 错误消息，并把消息复制到固定的 504 字节 Mode.IcmpError 字段；复制循环的边界处理错误，超长消息会写穿该字段，攻击者可控制 DXE 阶段内存并在操作系统加载前执行任意代码——在 Secure Boot 或 measured boot 验证任何 OS 组件之前。CVSS 9.5，影响 EDK II master（2026-09-14）及 edk2-stable202608 及更早。
AI 归属。 CVE 致谢为 Alex Matrosov（Anthropic）与 Dan Holmes-Mitra（Google）；公开记录没有说明是否使用 AI。归为“AI 实验室员工发现”。
为什么危险。 这是固件层、预启动、网络可达的 RCE；攻击者只需要在目标 PXE 启动时发送单播 ICMP 错误消息，不需要应用层漏洞，也不需要用户交互。更关键的是，GitHub 安全公告在发布时标注 “Not patched currently”——截至 10 月 27 日仍无补丁。对于依赖 PXE 批量部署的数据中心、实验室、企业终端，这是本周最需要立即缓解的一项。
处置建议。 在补丁发布前，限制 PXE 启动到可信网络/隔离 VLAN；关闭不必要的网络启动；对 DHCP/PXE 流量做准入控制；监控异常 ICMP 错误消息与固件启动日志；关注 TianoCore 后续公告。不要因为“没有补丁”就忽略——这属于典型的“先降暴露面，再等补丁”。
4.5 Postiz：默认自注册 + 内部方法暴露，三枚 9.x
事实。 Postiz 是开源社媒排程平台。CVE-2026-115931（CVSS 9.9）允许已登录用户让后端对连接的频道执行任意 provider 方法，进而调用内部 helper 读取服务器任意文件，泄露会话签名密钥、数据库地址与第三方凭据；CVE-2026-115932（9.6）在发布帖子时把非 URL 的媒体路径当作服务器文件读取，可把任意文件作为附件发到攻击者控制的 Discord；CVE-2026-115933（9.9）用同一签名密钥签发 session、邀请、密码重置与企业 provisioning token，攻击者可伪造任意 claims。三枚都影响 2.23.0/2.15.0 之前版本，修复版本分别为 2.25.2 与 2.25.3。
AI 归属。 CVE 致谢为 Anthropic, PBC、Enno Gelhaus、Nevo David；公开记录没有说明使用 AI。归为“AI 实验室员工发现”。这说明 Anthropic 的安全团队在主动审计第三方开源软件，但不能直接等同于“Claude 挖到”。
处置建议。 升级 2.25.2/2.25.3；关闭默认开放的自注册；轮换会话签名密钥、数据库凭据与已连接服务 token；检查是否有异常频道、附件发送与文件读取日志。
4.6 curl：GnuTLS WebSocket 的越界读
事实。 CVE-2026-107928 影响 curl 7.86.0–8.22.0，仅在 GnuTLS 后端、WebSocket 场景触发：恶意 WebSocket 服务器让 gnutls_record_send() 返回“已发送字节数大于传入字节数”，curl 随后把发送缓冲区之后的内存发给服务器，造成信息泄露或崩溃。CVE 记录未给 CVSS；从影响看应按高危信息泄露/DoS 处理。修复版本为 8.23.0，8.20.2/8.16.2/8.14.3 分支也有回溯修复。
AI 归属。 CVE 致谢写的是 “Luna with Claude | Anthropic | Stefan Eissing”——明确的人机协作（Claude 参与）。这是本周“AI 辅助发现”证据最直接的一条。
处置建议。 升级 8.23.0 或对应分支；使用 GnuTLS 后端的 WebSocket 客户端优先处理；无法升级时切换到 OpenSSL/mbedTLS 后端；检查 libcurl 的静态/动态嵌入。
4.7 同周非 AI 高危：GitLab、Node.js、LiteLLM、eMudhra
GitLab CVE-2026-110264（CVSS 10.0）：正则编译器整数溢出，未认证用户可 RCE；影响 7.0 起所有版本，修复到 18.11.13/19.x 各分支。发现者来自 HackerOne（joaxcar），没有 AI 归属。它说明“Black October”并不全是 AI 挖洞，传统研究依然能打出 10.0。
Node.js 其他高危：CVE-2026-105482（DNS NUL 截断）、CVE-2026-105483/106069（TLS 主机名校验绕过）均为 High，公开致谢为个人研究者，没有 AI 归属；与 Brotli 一起构成 10 月 21 日的 Node.js 安全版本。
LiteLLM v1.107.0 供应链投毒：10 月 21 日发布到 PyPI（约 2 小时）与 Docker（约 2.5 小时），内含凭据窃取与 RCE 工具；攻击链涉及 GitHub CLI OAuth token 暴露，LiteLLM 调查提到 Claude Code 会把 token 嵌入响应体、在日志记录时可能泄露。这不是 AI 挖洞，但它是 AI 基础设施的供应链风险。
eMudhra 中间 CA 弱密钥：八个中间 CA 私钥随机性不足，Chrome/Firefox 吊销；随后公司退出 SSL/TLS 证书业务。不是 AI 发现，但属于同一周“信任基础设施”事件。
Plex2Shell / BeyondTrust：分别是 10 月 16 日与 10 月 15 日披露的在野利用/认证绕过，属于前一周延续，不应计入“上周 AI 挖洞”，但解释了为什么安全团队感觉“到处都在着火”。
五、AI 是怎么找到这些漏洞的
5.1 工具栈
5.2 典型工作流
划定攻击面：代码属性图、入口点、不可信输入路径、危险操作。
并行假设：多个 agent 各自提出“哪里可能有问题”，避免单次扫描漏掉多步漏洞。
生成利用：不仅判断“像漏洞”，还要构造可触发的 PoC/exploit，在容器中跑通。
对抗验证：一个 agent 主张可利用，另一个反驳，第三个裁决；只有经得起反驳的才保留。
人工 triage：外部安全公司/维护者复现、评估严重度、写报告；AI 输出不能直接变成 CVE。
协调披露：90 天窗口、补丁、公告、KEV；这一步仍然高度依赖人。
_f863e28a-72f1-45c1-8a99-6d8500ce9aa6.png)
图 05 · AI 挖洞六步工作流（§5.2）
5.3 为什么 AI 有效，以及它不擅长什么
有效：跨文件数据流、内存安全模式、长链路利用、7×24 并行、边际成本低；对“已经被人类审计几十年”的代码仍能找到长尾问题（PHP2Shell 的根因可追溯到 2014 年甚至更早）。
不擅长：判断业务影响、在多个修复方案之间做兼容性取舍、写高质量补丁、协调披露、控制误报。PHP 基金会明确说：“工具能更快找到 bug，但不能决定正确的修复方式”；Anthropic 的 CVD 流程也把人工 triage 作为限速步骤。
六、规模与质量：三个数字的真相
6.1 发现量：确实在爆发
Anthropic 的 CVD 仪表盘（截至 2026-10-02）：已披露 6,157 个漏洞、覆盖 591 个开源项目；收到 219 个 CVE、365 个 GHSA；外部安全公司复核的 6,123 个候选中有 5,674 个为真（92.7% TP）；仅 516 个完成上游修复。
Project Glasswing：约 50 家伙伴合计发现 10,000+ 高危/严重漏洞；Cloudflare 一家 2,000 个 bug、400 个高危/严重。
Epoch AI：Mythos 发布后，21 家知名机构披露的高危/严重 CVE 在 2026 年 6 月达到约 1,500，超过此前月度纪录的 3.5 倍。
Securin 的 AI-CVE 追踪器（2026-10-27）：597 个 AI 相关 CVE，70 个 Critical、269 个 High；其中 356 个有公开证据表明 AI 参与（166 个自主发现、190 个人机协作），另有 178 个“AI 实验室员工但未说明使用 AI”、14 个未说明、49 个无公开归属证据。
6.2 利用量：绝大多数并没有被武器化
VulnCheck 的 Patrick Garrity 截至 2026-09-21 跟踪的 225 个 Glasswing 相关 CVE 中，只有 1 个（Ghost 的 SQL 注入 CVE-2026-26980）有确认在野利用；不到 0.5%。
历史上被武器化的漏洞比例通常也只有 1%–2%。AI 提高了发现量，但没有自动提高“可利用性”或“攻击者兴趣”。
但这不等于可以放松：PHP2Shell 就是那个“少数例外”，而且它的暴露面太大、利用门槛在快速下降。
6.3 修复质量：AI 补丁还不能独立交付
1Password 对 6,080 个 AI 生成补丁的分析：仅 26% 完全修复漏洞；约 54% 要么没修好、要么引入新漏洞、要么两者都有。
Veracode 对 100+ 模型、80 个编码任务的评估：AI 生成代码的平均安全通过率仅 56%。
PHP 基金会：自 7 月 1 日以来发布 15 个 CVE，同时处理 100+ 个无效/重复/不可复现报告；AI 帮助验证和归并，但“每一个决定、每一个补丁仍然由人做”。
结论：AI 把“发现”变成了廉价品，但“验证—修复—部署”仍然是人力密集、且被严重低估的瓶颈。
_6e1d6954-832f-48e5-9205-e8c99b490dcd.png)
图 06 · 三个数字的真相（§六）
七、为什么是“上周”：因果分析
披露窗口集中到期。 PHP2Shell 的发现可追溯到 8 月 1 日/8 月 19 日，90 天窗口在 10 月下旬关闭；BIND 10 月 14 日早期通知、10 月 21 日公开；EDK II 10 月 22 日；Postiz 10 月 23–24 日。多个独立项目在同一周撞车，有偶然性。
AI 漏洞项目从“试点”进入“规模化”。 Glasswing、Patch the Planet、Wiz Atlas、Big Sleep、MDASH 都在 2026 年扩大了扫描范围和伙伴数量；发现量自然上升。
攻击者也在用 AI。 PHP2Shell 在公开披露前 4 天就出现利用尝试；VulnCheck 在披露次日做出绕过 ASLR 的利用；研究员称对手“明显在花时间和 token”研究这个 bug。
叙事放大。 “Black October”把 PHP2Shell、GitLab 10.0、LiteLLM、eMudhra、Node/Brotli 等事件打包成一个“AI 让漏洞失控”的故事；Sam Altman、Anthropic CISO、Cloudflare CEO、Benioff 的表态进一步放大了恐慌。
披露流程本身也在承压。 PHP2Shell 出现 CVE 编号提前泄露、PoC 视频误发、Chainguard 提前发布修复镜像；AI 发现速度超过了现有协调机制的吞吐能力。
八、行动清单
8.1 如果你运行 PHP
立即升级到 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12；EOL 版本应用源码补丁或迁移。
按“已在野利用”处理：检查 webshell、异常子进程、异常 OOM、异常请求日志；CISA KEV 截止 10/29。
无法立即升级：至少 session.upload_progress.enabled=0，并在 WAF/代理层限制异常请求；不要依赖 ASLR 或关闭错误显示。
关注 CVE-2026-115560（第三枚 PHP RCE）：条件罕见，但需按公告设置缓解。
8.2 如果你使用 Node.js / Brotli / .NET / Python
升级 Brotli 1.0.10/1.1.1/1.2.1；Node.js 22.23.4/24.22.1/26.12.1；Python Brotli 1.2.1；安装微软 .NET 紧急补丁。
盘点所有“自带 Brotli”的组件：Node、.NET、FFmpeg、ClickHouse、Arrow、Python wheel、容器基础镜像。
无法立即升级：移除 Python Brotli 支持或在代理层拦截入站 Content-Encoding: br；注意客户端解压恶意响应的路径仍然存在。
8.3 如果你运行 BIND / DNS
升级 9.20.30 / 9.21.27 / 9.20.30-S1。
不需要 GSS-TSIG 就禁用；限制到可信 zone/client；没有 workaround，互联网暴露实例优先。
8.4 如果你使用 PXE 启动 / 固件
EDK II 暂无补丁：把 PXE 限制在隔离 VLAN/可信网络，关闭不必要的网络启动，监控异常 ICMP 错误消息与固件启动日志。
关注 TianoCore 后续公告；在补丁发布后尽快验证并部署。
8.5 如果你运行 Postiz / GitLab / 自托管平台
Postiz 升级 2.25.2/2.25.3；关闭默认自注册；轮换会话密钥、数据库凭据、第三方 token。
GitLab 升级 18.11.13 / 19.0.10 / 19.1.9 / 19.2.9 / 19.3.6 / 19.4.3 / 19.5.1；限制 self-managed 实例的公网暴露。
对所有自托管平台：默认关闭自注册、最小权限、把“内部 helper 方法”当作攻击面。
8.6 如果你使用 curl / LiteLLM
curl 升级 8.23.0（或 8.20.2/8.16.2/8.14.3 分支）；使用 GnuTLS 的 WebSocket 客户端优先处理。
LiteLLM：如果用过 1.107.0，按官方事件报告重建环境、轮换所有可能暴露的凭据；检查 litellm-1.107.0.dist-info、cook.pth、sitecustomize.py 等痕迹。
8.7 对安全团队 / 企业
把“AI 发现量”纳入漏洞管理，但不要按“AI 标签”决定优先级；按暴露面、可利用性、KEV、补丁可用性排序。
建立 AI 报告的 triage 能力：要求 PoC、复现步骤、受影响版本、补丁建议；拒绝“只有一段自然语言”的低质量报告。
缩短补丁 SLA；对 PHP/GitLab/EDK II 这类高暴露面资产做专项排查。
监控 KEV 与厂商公告；假设“公开披露日不是最早利用日”（AWS 的 PHP2Shell 案例就是证明）。
8.8 对 AI 安全工具建设者
发现只是第一步：把“可复现的利用 + 人工复核 + 补丁质量”作为核心指标，而不是 CVE 数量。
避免向维护者倾倒低质量报告；按维护者吞吐节奏披露；对高风险漏洞走 7 天压缩时间线。
补丁生成需要独立验证：1Password/Veracode 的数据说明，AI 补丁的“安全通过率”远不足以直接上线。
九、仍未证实 / 待观察
BIND / EDK II / Postiz 是否真的使用了 AI：CVE 致谢只写人名/机构，没有说明工具；本报告按“Lab staff”处理。若后续有 OpenAI/Anthropic 的工程博客披露，可再升级归属。
EDK II 补丁时间：截至 10/27 仍为“Not patched currently”；这是本周最需要跟踪的未修复项。
PHP2Shell 的长期暴露：EOL 版本、嵌入式 PHP、容器旧镜像、共享主机；CISA KEV 只覆盖联邦机构，全球长尾可能持续数年。
Brotli 是否会被大规模利用：已有 PoC、无确认恶意利用；但 Node/Python/.NET 的部署面很大，不能掉以轻心。
Postiz 的实际暴露面：默认自注册 + 公网部署的实例需要重点排查；目前没有公开在野利用报告。
AI 补丁质量：26%/54% 与 56% 的数据来自特定研究，不能外推到所有模型/任务；但足以说明“AI 自动修复”还不能替代人工 review。
“AI 挖洞”统计口径：第三方追踪器与厂商口径不同；引用“AI 发现 597 个 CVE”时，必须同时说明其中只有 356 个有公开 AI 证据、178 个只是实验室员工。
十、信息来源（精选）
核心漏洞与厂商公告
Node.js 2026-10-21 安全版本（含 Brotli CVE-2026-111497）
TianoCore EDK II GHSA-99cj-7hg9-mp4m
CVE 记录
CVE-2026-109618；CVE-2026-109619
CVE-2026-115931；CVE-2026-115932；CVE-2026-115933
AI 漏洞发现项目与规模数据
Anthropic Project Glasswing 复盘
Securin AI-Discovered CVE Tracker
The Register 对 Anthropic CVE 的追踪
媒体与时间线
BleepingComputer：CISA KEV；AWS 提前利用；HTTP2Shell
The Register：PHP2Shell ASLR 绕过；第三枚 PHP bug
附：AI 归属分级说明
Autonomous（自主）：CVE/公告把 AI 系统或工具本身列为发现者。
Human+AI（人机协作）：具名研究者/团队在 AI 辅助下发现，公告明确提到 AI 工具。
Lab staff（实验室员工）：发现者来自 AI 实验室，但公开来源没有说明是否使用 AI；不能直接当作“AI 挖洞”。
Unstated / No evidence：AI 机构列出但未说明方法，或找不到公开归属证据。