curl 新版修補 24 個漏洞　18 個由 AI 保安公司 Aisle 找出

開源網絡傳輸工具 curl 在 10 月 14 日推出 8.23.0 版，一次修補 24 個安全漏洞。據 AI 保安公司 Aisle 的新聞稿，其中 18 個由它的 AI 保安平台發現，佔總數 75%。

在其他 AI 找不到之後

據 Aisle 的網誌，它開始審計 curl，是在 curl 創辦人兼首席開發者 Daniel Stenberg 表示 Anthropic 的 Mythos、OpenAI 的 Codex Security 和 ZeroPath 都已找不到新漏洞之後。

Stenberg 在個人網誌表示，Aisle 約一年內已找出 35 個 curl 漏洞並取得 CVE 編號，比任何團體或個人都多；這次審計是 curl 多年來第五次正式的外部審計，報告已上載 curl 網站。他說：「我們與 Aisle 的合作，是過去任何保安機構都沒有過的。」Aisle 則說，過去 12 個月它在 curl 另外找出 160 個保安及效能問題。

唯一的高危漏洞

不過，這次 18 個 Aisle 漏洞的評級都是低危。新版唯一被評為高危的漏洞（CVE-2026-92392），由 Anthropic 研究員 Luna Tong 用公司新推出的開源軟件掃描工具發現。Stenberg 寫道：「估計這涉及他們的 AI 模型。」

這是一個 HTTP/2 上傳的「釋放後使用」（use-after-free）漏洞，理論上可被轉化為遙距執行程式碼。Stenberg 形容它是 curl「很久以來最嚴重的漏洞之一」，但觸發條件極難滿足，「嘗試攻擊最可能的結果只是程式崩潰」。

由垃圾報告到 AI 審計

curl 在今年 1 月停辦漏洞懸賞計劃，原因是一星期內收到七份報告，沒有一份描述真正的漏洞。Stenberg 當時說，目的是消除提交「垃圾、未經充分研究的報告」的誘因，「不論是否 AI 生成」。九個月後，新版 24 個漏洞中有 20 個來自 AI 輔助的研究。