AI 把漏洞挖掘卷疯了：30 个 CVE、14 个项目，这个开源神器火了！

原创

爱坤
爱坤

爱坤sec

2026年7月5日 02:30
重庆

在小说阅读器读本章

去阅读

AI 一周挖出 30 个 CVE？这个开源项目杀疯了

你还在手动翻代码找漏洞，一篇一篇写 CVE 报告？

有人已经让 AI 把这事儿全包了——从选项目、审代码、挖漏洞、到生成 CVE 报告，一条龙自动化。你只需要复制粘贴提交就行。

这就是 AutoCVE，一个刚在 GitHub 上两周斩获 940+ Star 的开源项目。

30 个 CVE，14 个项目，一周搞定

先看战绩。AutoCVE 在为期一周的测试里，挖出 30 个安全漏洞，覆盖 14 个开源项目，最高 CVSS 9.9（满分 10）。

受害者名单包括：

• typebot.io — 权限绕过 CVSS 9.9
• Tautulli — SSRF CVSS 9.9
• Chartbrew — 越权访问 CVSS 8.1
• froxlor — 授权缺陷 CVSS 8.8
• SillyTavern — SSRF CVSS 8.5
• 还有 BentoML、Pimcore、xxl-job、JeecgBoot、CraftCMS、filebrowser……

个个都是 GitHub 上千 Star 的知名项目，漏洞类型横跨 SSRF、SQL 注入、XSS、RCE、越权。没有一个\"水文\"漏洞。

它是怎么做到的？

AutoCVE 不是一个简单的脚本，而是一个完整的 Multi-Agent 自动化审计平台。

整个挖掘流水线长这样：

Orchestrator → Recon → Scan → Triage → Finding → Verification → 出报告

五个 Agent 各司其职：

• Recon：侦察项目结构，识别语言框架，定位审计入口
• Scan：调用 Semgrep、Bandit 等工具做地毯式扫描
• Triage：对扫描结果复核，过滤误报
• Finding（核心）：直接读源码，ReAct 循环深度挖掘，产出高质量漏洞
• Verification：沙箱动态验证，确保漏洞真实可复现

其中 Finding Agent 是整个系统最亮眼的设计。它使用 ReAct Loop + 状态机调度机制，让 AI 像真正的安全研究员一样：读代码 → 思考 → 查资料 → 验证 → 再深挖。内置 Nudge 纠偏机制，防止 AI 偷懒或跑偏；FinalizeFinding 终止工具确保每次退出都有结构化的证据链，而不是 AI 说一句\"我查完了\"就糊弄过去。

三种模式，丰俭由人

AutoCVE 提供三种审计模式：

选哪种取决于你的目标。想冲 KPI 挖 CVE ？开「智能审计」就行。

部署？一行命令

curl -fsSL https://raw.githubusercontent.com/larlarua/AutoCVE/v1.0.3/docker-compose.prod.yml | docker compose -f - up -d

没错，一行。AutoCVE 全容器化，跑起来后访问 http://localhost:3000，用 demo 账号登录，配置好模型 Key，导入一个项目就能开始审计。

模型方面，主流通吃：OpenAI、Claude、Gemini、DeepSeek、Qwen、智谱、月之暗面……甚至还支持中转站协议。你想用啥用啥。

为啥值得关注？

如果你是安全研究员，这是你的 CVE 生产力工具。AutoCVE 最大价值不是取代你，而是把\"翻代码→找漏洞→写报告\"这个流程中 80% 的重复劳动砍掉，让你聚焦在真正需要人类判断力的地方。

如果你是甲方安全工程师，这是你的代码审计加速器。每周跑一遍核心项目，AI 先扫一轮，你只需要复核结果。

如果你是开源项目维护者，这是你的自查利器。发版前让 AutoCVE 跑一遍，至少能挡住一些低级漏洞上生产。

最后

项目地址：

github.com/larlarua/AutoCVE

有条件的给个 Star，没条件的先收藏。毕竟能在一周内挖出 30 个 CVE 的工具，值得所有安全人关注一轮。