AI 漏洞海嘯：六個新 CVE 衝擊 dnsmasq

軟體安全領域正在發生轉變。多年來，在廣泛使用的開源專案中發現關鍵漏洞的過程，一直遵循著人工審核與研究人員主導發現的預測模式。然而，dnsmasq 的創作者 Simon Kelley 最近的一項聲明，預示著漏洞發現與回報方式的根本性變化。

2026 年 5 月 11 日，CERT 發布了六個 CVE，詳細說明了 dnsmasq 中的嚴重安全漏洞。這些並非新漏洞；而是影響幾乎所有非古老版本的軟體長期存在的問題。雖然已經發布了修補程式，但發現這些漏洞的背景揭示了一個更廣泛的趨勢：基於 AI 的安全研究興起。

影響與修復

Simon Kelley 已發布 dnsmasq-2.92rel2 以解決這些漏洞。對於使用穩定版 2.92 分支的使用者而言，此版本包含了必要的修補程式。同時，修復程式也已整合至開發樹中，其中部分修復涉及全面的重寫，以解決漏洞的根源，而非僅僅是簡單的回填修補（backports）。

Kelley 同時也在加速 dnsmasq-2.93 的發布，目前已標記了發布候選版本（2.93rc1）以加速穩定版的發布。這種緊迫性是由目前湧入專案的報告數量所驅動的。

AI 生成的漏洞報告「海嘯"

聲明中最引人注目的部分或許是 Kelley 對目前安全回報現狀的描述。他描述了一場「AI 生成的漏洞報告海嘯」，並指出他花了數月時間來分類整理（triaging）大量湧入的報告，其中許多都是重複的。

這種轉變對維護者而言具有深遠的影響：

• 長期禁令（Embargoes）的終結： Kelley 指出，長期的禁令——即在修補程式準備就緒前對漏洞保持保密的做法——可能正變得毫無意義。如果 AI 工具可以快速且大規模地發現這些漏洞，那麼惡意行為者極有可能也在使用相同的工具來尋找同樣的漏洞。
• 分類整理的負擔： AI 工具產生的龐大報告量對個人或小團隊維護者造成了巨大的壓力。在 Kelley 的話中，協調禁令並為大量漏洞流提供回填修補（backports）所需的精力是「巨大的」。
• 優先考慮及時性： 由於漏洞報告流是持續不斷的，優先事項已轉向盡快發布新版本，以便將暴露風險的窗口期縮短到最小。

社群觀點與擔憂

此消息在技術社群中引發了顯著討論，觸及了我們所依賴的基礎設施之脆弱性。

嵌入式設備的困境

評論中反復出現的一個擔憂是嵌入式硬體的命運。由於 dnsmasq 在路由器和 IoT 設備中無處不在，許多這類系統可能永遠不會收到更新。正如一位使用者所者，部分漏洞可能已經進入了嵌入式硬體，在這些硬體中，更新非常困難或需要刷寫整個韌體。

「穩定」發行版的分歧

對於 Linux 發行版如何處理這些更新也存在批評。一些使用者對發布「穩定」版本的軟體（特別是提到 Debian）感到沮喪，因為這些版本發布的是古老的軟體版本，並爭論回填特定 CVE 修復到舊版本這種做法，會造成軟體版本的「科學怪人」版本（frankenstein versions），導致無法獲得其他非 CVE 的漏洞修復與一般性的穩定性改進。

AI 悖論

AI 驅動的審核流程興起，使得一些人開始思考軟體開發的未來。如果機器學習可以如此高效地識別這些漏洞，使用者便質疑為什麼 AI 不能從一開始就寫出完美無瑕的程式碼。

相反地，一些開發者認為並非所有專案都受到同等程度的影響。例如，MaraDNS 的創作者指出，他們的專案自 2023 年以來已進行了廣泛的 AI 輔助審核，卻未發現任何嚴重的安全漏洞，這表明軟體的架構可能在漏洞發現中扮演比工具本身更重要的角色。

結論

dnsmasq 的情況是開源生態系統的一個警示（canary in the coal mine）。隨著基於 AI 的安全研究變得普及化，報告的「海嘯」很可能成為新的常態。對於維護者而言，挑戰不再僅僅是修復漏洞，而是管理自動化發現所帶來的壓倒性數量。對於使用者而言，唯一的防禦手段就是嚴格且及時的更新週期。