匿名着把漏洞军火库扔上 GitHub，安全圈集体破防还是嘲讽
宝十八
宝十八
网络安全老宋
2026年7月9日 12:00
山东
在小说阅读器读本章
去阅读
导语： 你好，我是网络安全老宋。安全攻防干货准时送达！
几十0day PoC全公开，价格归零，CVE 黑市崩盘——安全圈集体破防。
0x00
昨天发生了什么？
Stars 以每天 200+ 的速度涨，最高冲到 1.1k。作者署名叫 bikini，是个素未谋面的匿名大神，一口气公开了几十个漏洞的完整 PoC 代码。关键是：这些漏洞在他发布的时候，一个都没向厂商报告过。README 里原话说：「我发布这些的目的是吸引人们进入网络安全研究领域。」
01
这是什么操作
6月28日前后，安全圈突然炸锅，有人在推特上丢了一个 GitHub 链接，点进去就是一个叫「Exploitarium」的仓库，翻译成中文就是「漏洞军火库」。
仓库不大，就一个文件夹堆着几十个子项目，每个子项目都是实打实的 PoC 代码，能复现、能调试、能跑。漏洞涉及的范围之广，让人倒吸一口凉气：
随便挑一个出来，都是能拿服务器权限的东西。更离谱的是，作者用的是 AI 辅助 fuzzing。
⚡「10 个 Fable 加 10 个 GPT-5.5 Cyber 轮询出来的 0day」
也就是说，一堆 AI 模型在那儿日夜不停地跑模糊测试，找到漏洞了就写 PoC，写完了就提交到仓库。你想想，过去找一条 0day，可能要一个资深研究员花上大半年工资，现在什么概念？边际成本从「半年工资」降到了一台机器跑 GPT 的电费。Ledger 的 CTO 直接在推上说了一句：「价格是归零了。」
02
安全圈的连锁反应
这玩意儿一发，安全圈的反应跟雪崩一样。
03
这件事为什么这么重要
说句实话，这不只是又一个漏洞仓库。这是 AI 时代安全研究范式转变的第一个标志性事件。
过去，找漏洞靠的是人。一个厉害的研究员，几年甚至几十年积累的经验，对着代码一行行看、一遍遍试。现在，AI 模糊测试工具能以人类不可能达到的速度，遍历海量输入组合。GPT-5.5 Cyber 这种模型，能理解代码语义，知道往哪个方向 fuzz 更有效率。这意味着什么？意味着 0day 的发现速度会以指数级提升，而发现成本会以指数级下降。
这不是危言耸听。过去一个CVE值几十万美金，现在AI帮你跑出来了，你扔 GitHub 上，免费给大家玩。
04
你怎么应对
先别慌，三步走：
https://github.com/bikini/exploitarium
05
// 老宋说
// 老宋的观察
技术本质
- 这事的本质不是「有人公开了几个漏洞」，而是「AI 已经把漏洞发现的边际成本打穿了」
- 0day 不再是稀缺资源，不再是顶尖研究员的专利
- 一堆 GPT 模型跑一跑，漏洞就出来了
行业观察
- 防守方的压力会呈指数级增长
- AI 发现速度 > 修复速度，剪刀差会越来越大
- 安全研究这门手艺，以后不光是大佬们的游戏了
对你的建议
- 现在就去盘点你的基础设施
- 该打的补丁打上，该升的软件升上去
- 别等人家拿你的 PoC 打脸了才想起来运维
06
CTA
如果觉得有用，点个在看，转发给你身边的朋友。
往期精彩
渗透测试从业者的全能工具箱：76,700+ Star、185+工具一键到位（HackingTool 从零到实战）
甲方运维应急响应的日志分析利器：Klogg 大文件秒开，朴实可靠
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论