42 个 AI 开源项目、174 个漏洞：AI 渗透测试把开源世界\"体检\"了一遍
原创
墨云安全
墨云安全
墨云安全
2026年11月9日 11:09
北京
去阅读
点击↑蓝字
关注墨云安全
注册一个普通账号，就能在对方服务器上执行任意命令——这不是电影，是我们在一个 AI 开源项目里真实复现的结果。这次我们用 AI 自动化渗透测试筛了 49 个 AI 相关开源项目，42 个被检出漏洞，共 174 条，其中超危 1 条、高危 30 条。
这次\"体检\"的规模
筛选范围：AI 相关开源项目 49 个（项目筛选：AI）
检出结果：42 个项目 · 174 条漏洞
等级分布：超危 1 · 高危 30 · 中危 101 · 低危 39 · 信息 3
结论置信度：137 条 high · 37 条 medium（均有代码证据或可复现步骤）
漏洞类型 Top 5
| 类型 | 数量 | 类型 | 数量 |
| SSRF（服务端请求伪造） | 34 | 硬编码密钥 | 10 |
| 不安全配置 | 30 | 加密/签名缺陷 | 10 |
| 路径穿越/任意文件读取 | 18 | 认证绕过 | 8 |
| 访问控制缺陷 | 14 | IDOR（越权对象引用） | 8 |
| XSS（跨站脚本） | 13 | 拒绝服务 | 4 |
CWE 维度最集中的三处：CWE-918（SSRF）33 处、CWE-22（路径穿越）18 处、CWE-306（缺失认证）15 处。
检出最多的项目：poster-design（20 条）、AI-Infra-Guard（14 条）、maxun（13 条）、coai（11 条）、edict（9 条）——检出量与项目体量成正比，但高危密度才是关键：maxun 一项目就贡献了 1 条超危 + 6 条高危。
数据背后的五条规律
-
\"默认值\"是最高频的坑。CWE-798 硬编码密钥出现 11 次，加上各类默认口令，几乎每个项目都栽在\"没设环境变量就带病上线\"。khoj 的 !secret、poster-design 的xpai-design-admin-secret、coai 的 root/chatnio123456，同一类错误换了三个名字。
-
SSRF 是 AI 应用的高发区。34 条 SSRF 是全场最大漏洞族。原因很直白：AI 应用大量内置\"截图、网页读取、链接预览\"能力，全是让服务端浏览器去访问 URL的天然入口；poster-design 的 puppeteer 截图接口甚至没鉴权，file://、云元数据 169.254.169.254 想访问就访问，还能把渲染结果以图片回显给攻击者。
-
缺失认证与越权是\"孪生兄弟\"。CWE-306（缺失认证）15 处 + CWE-639（IDOR）8 处。maxun 的 GET /storage/recordings 直接返回所有用户的 Robot 及其 Google/Airtable OAuth 令牌；AI-Infra-Guard 更离谱——把请求头里的 username 当身份，没有任何凭证校验。
-
Agent 工具链成了新攻击面。当\"LLM 调用工具\"成为标配，工具本身就成了 RCE 通道：maxun 的 script、AI-Infra-Guard 的 execute\_shell（shell=True 执行 LLM 生成的命令，sandbox\_execution 标志是死代码）、open-multi-agent 的 Consequential bash。给 LLM 一把工具，就等于给提示注入一把钥匙。
-
中危占 58%，但组合起来就是超危。为什么中危能占到近六成？101 条中危里，SSRF + 路径穿越 + 硬编码密钥任意两两组合，都能串成完整攻击链——单独看都不致命，连起来就是接管。
给开发者的通用修复清单
| 漏洞族 | 一句话修复 |
|---|---|
| 硬编码密钥/口令 | 删除默认值，缺失即拒绝启动；随机生成 + 定期轮换 |
| SSRF | 协议与 IP 白名单（禁 file://、内网、云元数据）；禁 --no-sandbox；接口加鉴权限流 |
| 文件上传 | 扩展名白名单 + 魔数校验；服务端随机文件名；静态目录与存储分离 |
| 越权/IDOR | 所有按 id 的查询强制 userId 归属过滤，统一封装 ownership helper |
| JWT | 白名单签名算法；校验 exp/nbf；密钥 ≥32 字节 |
| 任意文件读取 | 读取前 realpath 校验，拒绝解析到项目根之外的路径 |
| Agent 工具 | 默认最小工具集；危险工具人工确认；真正落地沙箱（非登记个标志） |
为什么这件事值得被看见
过去，给 49 个开源项目做一次漏洞普查，需要几十人天的人力。这一次，我们用 VackBot 的 AI 自动化渗透测试能力，把这件事做成了\"日常\"：筛选 → 下发任务 → 自动检测 → 输出带代码证据和复现步骤的漏洞清单，174 条漏洞连同 PoC（Proof of Concept，概念验证）一起交付。
漏洞不可怕，可怕的是不知道它在哪。让 AI 替你先把开源世界的坑踩一遍——这正是自动化攻击验证平台存在的意义。给 LLM 一把工具，就等于给提示注入一把钥匙；给开发者一份 PoC，就等于给修复铺一条路。
看完这 42 个项目的清单，你想不想知道自己仓库里藏着几个？欢迎在评论区留下你的开源依赖清单，我们抽 3 个，免费替你跑一遍。
附：分项目漏洞分布（全量 42 个项目）
| 项目 | 条数 | 高危+ | 项目 | 条数 | 高危+ |
|---|---|---|---|---|---|
| poster-design | 20 | 高5 | superplane | 3 | 0 |
| AI-Infra-Guard | 14 | 高1 | osiris | 3 | 0 |
| maxun | 13 | 超危1+高6 | open-multi-agent | 3 | 高1 |
| coai | 11 | 高2 | job-ops | 3 | 0 |
| edict | 9 | 高1 | higress | 2 | 高1 |
| leek-fund | 6 | 0 | xianyu-auto-reply | 2 | 0 |
| AChat | 6 | 0 | QwenPaw | 2 | 0 |
| Wechatsync | 6 | 高4 | dramaclaw | 2 | 0 |
| llama-gpt | 6 | 0 | baserow | 2 | 0 |
| MQTT-Explorer | 5 | 0 | all-api-hub | 2 | 0 |
| wechat-miniapp-radar | 4 | 0 | immich | 2 | 0 |
| ekko-studio | 4 | 0 | changedetection.io | 2 | 0 |
| midday | 4 | 0 | experiential | 2 | 0 |
| seomachine | 4 | 0 | open-connector | 2 | 高1 |
| niubigeo | 4 | 高2 | photoprism | 1 | 0 |
| blinko | 4 | 高4 | Yuxi | 1 | 0 |
| Understand-Anything | 3 | 0 | unsloth | 1 | 0 |
| khoj | 3 | 高1 | karakeep | 1 | 0 |
| SWE-agent | 3 | 0 | open-seo | 1 | 0 |
| imagededup | 3 | 0 | posthog | 1 | 0 |
| appwrite | 3 | 高1 | chatgpt2api | 1 | 0 |
往期回顾
AI红客机器人重磅更新，全面覆盖OpenClaw安全检测
墨云科技AI红客机器人亮相香港世界青年科学大会
Black Hat Asia 2026 | 墨云AI红客团队闪耀亮相
让网络攻防更智能
点击转发
分享给小伙伴
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论