偽造的 SQLite CVEs：LLM 生成的漏洞垃圾 (Vulnerability Slop) 的興起

A 系列針對 SQLite 的嚴重漏洞公告最近被發現是「LLM 垃圾」——由 AI 生成的偽造報告，其引用了不存在的程式碼並提供了無法運作的概念驗證 (PoC) 載荷。儘管這些是假的，但這些 CVE 最初被國家漏洞資料庫 (NVD) 和 CISA 的授權數據發布者 (ADPs) 標記為嚴重，凸顯了目前漏洞驗證流程中的危險缺口。

偽造的 SQLite 漏洞

JFrog 安全研究人員調查了一批由 GitHub 儲存庫 (programmervuln/cveadvisory-) 發布的 SQLite 公告。他們的審計顯示，該帳號發布的 55 個公告中，有 54 個是完全偽造的。

幻覺 CVEs 的分析

研究人員使用了一個隔離的測試工作流，包括官方 SQLite 源碼檢查、乾淨的 Docker 建置以及 AddressSanitizer (ASan) 工具，來驗證這些主張。結果顯示出一致的 AI 幻覺模式：

CVE	報告的缺陷	發現結果
CVE-2026-51302	`exprComputeOperands()` 中的 UAF	`exprComputeOperands()` 函數在目標版本 (3.41.0) 中並不存在。
CVE-2026-51303	`ExprListDelete()` 中的 UAF	版本 3.51.3 中報告的「修補程式」是偽造的；在 3.51.2 與 3.51.3 之間，`src/expr.c` 並不存在任何變更。
CVE-2026-51300	`sqlite3ExprDelete()` 中的 UAF	引用的行號指向了一個註釋和一個記憶體分配調用，與報告的缺陷無關。
CVE-2026-51297	透過 `jsonBlobEdit()` 的 UAF	`jsonBlobEdit()` 函數在目標版本 (3.41.0) 中並不存在。
CVE-2026-51296	`jsonRemoveFunc` 中的 UAF	引用的行號超過了原始碼檔案 (`src/json.c`) 的總長度。
CVE-2026-51304	透過 `pOrderBy->nExpr` 的 UAF	報告的函數簽名不正確，且程式碼在刪除後會明確地將指標設為 null。

在每個案例中，提供的 PoC SQL 語句要麼在解析器階段失敗，要麼成功執行但未觸發任何記憶體錯誤。

CVE 驗證中的系統性失敗

偽造報告能夠獲得嚴重等級評分（例如 Red Hat 最初分配給 CVE-2026-51302 的 10.0 分），這表明漏洞提交流程存在崩潰。

NVD 安全網的崩潰

從歷史上看，國家漏洞資料庫 (NVD) 會手動分析並驗證傳入的 CVEs。然而，在 2024 年 2 月，由於報告數量激增，NIST 暫停了深度分析。這導致了流程的碎片化，使得：

缺乏驗證： 目前的提交流程中沒有任何步驟要求提供功能性的概念驗證或錯誤重現。
自動化攝取： 看起來合理的偽造公告可以繞過人工驗證，直接進入 GHSA 和企業級掃描器。
身份匿名性： MITRE 的公開提交表單缺乏嚴格的身份驗證，允許任何人提出 CVE 和 CVSS 評分。

對安全運維的影響

偽造的 CVEs 為組織和維護者帶來了顯著的運維開銷與安全風險：

資源浪費： 安全團隊浪種時間在調查和修補不存在的漏洞。
資料庫污染： 漏洞資料庫充斥著「雜訊」，使得識別真正的嚴重威脅變得更加困難。
AI 驅動的錯誤修復： 用於自動化分流的 AI 代理可能會嘗試修補不存在的函數，從此可能將真正的錯誤引入生產環境程式碼中。
維護者負擔： 開源維護者被迫花時間拆解幻覺，而不是修復真正的安全缺陷。

如何識別「垃圾」CVEs

為了避免被偽造的公告誤導，安全專業人員應留意以下紅旗指標：

缺乏廠商協同驗證： 問題未在官方維護者安全頁面（例如 sqlite.org/cves.html）上提及。
缺乏提交紀錄： 在參考欄位中沒有連結的 commit hash 或 pull request。
元數據矛盾： CPE 產品定義為空，或者版本範圍與公告敘述不符。
不存在的程式碼引用： 公告引用了在指定軟體版本中不存在的函數或行號。
** 核心重點摘要：

社群觀點

業界觀察家對安全報告中信噪比 (signal-to-noise ratio) 的下降表示擔憂。一些貢獻者指出，雖然 LLM 可以發現真正的錯誤，但缺乏驗證機制會為透過偽造報告進行的「大規模攻擊」開闢道路。

"LLMs are text-prediction engines. They are not Artificial Intelligence, and shouldn’t not be treated in any form or fashion as if they possess intelligence... Now, we all pay the consequence, to the, to the tune of hundreds of thousands if not millions of dollars of wasted productivity."

其他人警告說，目前這種在「驗證機器」建立之前先建立「輸出機器」的趨勢，對於軟體開發來說是不可持續的。