AI 漏洞海啸：六个新 CVE 冲击 dnsmasq

软件安全格局正在发生变化。多年来，在广泛使用的开源项目中发现关键漏洞的过程遵循着手动审计和研究人员主导发现的可预测模式。然而，dnsmasq 的创建者 Simon Kelley 最近的一项公告，标志着漏洞发现和报告方式的根本性变化。

2026 年 5 月 11 日，CERT 发布了六个 CVE，详细说明了 dnsmasq 中的严重安全漏洞。这些并不是新漏洞；它们是影响几乎所有非陈旧版本的软件的长期存在的问题。虽然补丁已经发布，但围绕它们发现的背景揭示了一个更广泛的趋势：基于 AI 的安全研究的兴起。

影响与修复

Simon Kelley 已发布 dnsmasq-2.92rel2 以解决这些漏洞。对于使用稳定 2.92 分支的用户，此版本应用了必要的补丁。同时，修复程序已集成到开发树中，其中一些涉及全面的重写，以解决漏洞的根本原因，而非简单的回移植（backports）。

Kelley 还在加快 dnsmasq-2.93 的发布进程，并已标记了一个发布候选版本 (2.93rc1) 以加速稳定版本的发布。这种紧迫性是由目前涌入该项目的报告数量之巨所驱动的。

公告中最引人注目的部分或许是 Kelley 对当前安全报告现状的描述。他描述了一场“AI 生成的漏洞报告海啸”，并指出他已经花了数月时间对大量涌入的报告进行分类，其中许多是重复的。

这种转变对维护者具有深远的影响：

长期禁运期的终结： Kelley 暗示，长期禁运（即在补丁准备就绪之前对漏洞保持保密）的做法可能正变得毫无意义。如果 AI 工具可以快速且大规模地发现这些漏洞，那么恶意行为者极有可能也在使用相同的工具来寻找同样的漏洞。
分类负担： AI 工具产生的海量报告给个人或小团队维护者带来了巨大的压力。协调禁运并为大量漏洞流提供回移植的精力，用 Kelley 的话来说，“非常巨大”。
优先考虑及时性： 由于漏洞流是持续不断的，优先级已转向尽可能快地发布新版本，以最大限度地减少暴露窗口。

这一消息在技术社区引发了广泛讨论，触及了我们所依赖的基础设施的脆弱性。

评论中反复出现的一个担忧是嵌入式硬件的命运。由于 dnsmasq 在路由器和 IoT 设备中无处不在，许多此类系统可能永远不会收到更新。正如一位用户所指出的，其中一些漏洞可能已经进入了嵌入式硬件，在这些硬件中，更新非常困难或需要刷新整个固件。

对于 Linux 发行版如何处理这些更新也存在批评。一些用户对提供陈旧软件版本的“稳定”发行版（特别提到了 Debian）表示不满，认为将特定的 CVE 修复程序回移植到旧版本中，会创造出软件的“科学怪人”版本，从而错失了其他非 CVE 漏洞修复和常规稳定性改进。

AI 驱动的审计已然兴起，这让一些人开始思考软件开发的未来。如果机器学习可以如此高效地识别这些漏洞，用户们质疑为什么 AI 不能从一开始就编写出完美无瑕的代码。

相反，一些开发者也认为并非所有项目都受到同等程度的影响。例如，MaraDNS 的创建者指出，他们的项目自 2023 年以来在经过广泛的 AI 辅助审计后，未发现任何严重的安全漏洞，这表明软件的架构可能在漏洞发现中比所使用的工具起着更大的作用。

dnsmasq 情况对于开源生态系统来说是一个“煤矿里的金丝雀”。随着基于 AI 的安全研究变得民主化，报告的“海啸”很可能会成为新常态。对于维护者，挑战不再仅仅是修复漏洞，而是管理自动化发现带来的压倒性数量。对于用户，唯一的防御手段是严格且及时的更新周期。