文章总结： AutoCVE是开源多智能体自动化漏洞挖掘工具，一周内对14个项目挖出30个CVE，最高评分9.9。核心FindingAgent通过ReAct循环模拟专家审计，结合侦察与验证Agent实现全流程自动化。工具提供三种审计模式，支持一键Docker部署与多模型兼容。建议安全研究员将其作为提升CVE产出的利器，甲方及开源维护者可用于日常代码审计与发版前自查。 综合评分： 77 文章分类： AI安全,代码审计,漏洞分析,安全工具,WEB安全

AI 把漏洞挖掘卷疯了：30 个 CVE、14 个项目，这个开源神器火了！

原创

爱坤 爱坤

爱坤sec

2026年7月5日 02:30 重庆

在小说阅读器读本章

去阅读

AI 一周挖出 30 个 CVE？这个开源项目杀疯了

你还在手动翻代码找漏洞，一篇一篇写 CVE 报告？

有人已经让 AI 把这事儿全包了——从选项目、审代码、挖漏洞、到生成 CVE 报告，一条龙自动化。你只需要复制粘贴提交就行。

这就是 AutoCVE，一个刚在 GitHub 上两周斩获 940+ Star 的开源项目。

30 个 CVE，14 个项目，一周搞定

先看战绩。AutoCVE 在为期一周的测试里，挖出 30 个安全漏洞，覆盖 14 个开源项目，最高 CVSS 9.9（满分 10）。

受害者名单包括：

• typebot.io — 权限绕过 CVSS 9.9
• Tautulli — SSRF CVSS 9.9
• Chartbrew — 越权访问 CVSS 8.1
• froxlor — 授权缺陷 CVSS 8.8
• SillyTavern — SSRF CVSS 8.5
• 还有 BentoML、Pimcore、xxl-job、JeecgBoot、CraftCMS、filebrowser……

个个都是 GitHub 上千 Star 的知名项目，漏洞类型横跨 SSRF、SQL 注入、XSS、RCE、越权。没有一个”水文”漏洞。

它是怎么做到的？

AutoCVE 不是一个简单的脚本，而是一个完整的 Multi-Agent 自动化审计平台。

整个挖掘流水线长这样：

Orchestrator → Recon → Scan → Triage → Finding → Verification → 出报告

五个 Agent 各司其职：

• Recon：侦察项目结构，识别语言框架，定位审计入口
• Scan：调用 Semgrep、Bandit 等工具做地毯式扫描
• Triage：对扫描结果复核，过滤误报
• Finding（核心）：直接读源码，ReAct 循环深度挖掘，产出高质量漏洞
• Verification：沙箱动态验证，确保漏洞真实可复现

其中 Finding Agent 是整个系统最亮眼的设计。它使用 ReAct Loop + 状态机调度机制，让 AI 像真正的安全研究员一样：读代码 → 思考 → 查资料 → 验证 → 再深挖。内置 Nudge 纠偏机制，防止 AI 偷懒或跑偏；FinalizeFinding 终止工具确保每次退出都有结构化的证据链，而不是 AI 说一句”我查完了”就糊弄过去。

三种模式，丰俭由人

AutoCVE 提供三种审计模式：

| | | | | — | — | — | | 模式 | 说明 | 适合场景 | | 增强扫描 | 工具扫描 + 模型验证 | 快速检查，筛误报 | | 智能审计 | Finding Agent 自主挖掘 | CVE、0Day 深度挖掘 | | 综合审计 | 扫描 + 深度分析 | 全量审计，不留死角 |

选哪种取决于你的目标。想冲 KPI 挖 CVE ？开「智能审计」就行。

部署？一行命令

curl -fsSL https://raw.githubusercontent.com/larlarua/AutoCVE/v1.0.3/docker-compose.prod.yml | docker compose -f - up -d

没错，一行。AutoCVE 全容器化，跑起来后访问 http://localhost:3000，用 demo 账号登录，配置好模型 Key，导入一个项目就能开始审计。

模型方面，主流通吃：OpenAI、Claude、Gemini、DeepSeek、Qwen、智谱、月之暗面……甚至还支持中转站协议。你想用啥用啥。

为啥值得关注？

如果你是安全研究员，这是你的 CVE 生产力工具。AutoCVE 最大价值不是取代你，而是把”翻代码→找漏洞→写报告”这个流程中 80% 的重复劳动砍掉，让你聚焦在真正需要人类判断力的地方。

如果你是甲方安全工程师，这是你的代码审计加速器。每周跑一遍核心项目，AI 先扫一轮，你只需要复核结果。

如果你是开源项目维护者，这是你的自查利器。发版前让 AutoCVE 跑一遍，至少能挡住一些低级漏洞上生产。

最后

项目地址：

github.com/larlarua/AutoCVE

有条件的给个 Star，没条件的先收藏。毕竟能在一周内挖出 30 个 CVE 的工具，值得所有安全人关注一轮。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：爱坤sec 爱坤 爱坤《AI 把漏洞挖掘卷疯了：30 个 CVE、14 个项目，这个开源神器火了！》