AI 漏洞报告淹没开源维护者，IBM 呼吁以 AI 治理
AI 总结
在 Linux Foundation 开源峰会上，IBM 企业安全首席客户创新官 Jamie Thomas 警告漏洞披露正出现“海啸”，预计 2026 年将新增约 6.6 万个独立漏洞条目，约为七年前的四倍，而利用漏洞的时间已从数天缩短到最快 29 分钟。与此同时，AI 生成的重复、低质甚至虚假报告让维护者不堪重负：curl 终止了 HackerOne 赏金计划，Google 暂停了开源软件漏洞奖励计划，Linus Torvalds 也称 Linux 安全邮件列表“几乎完全无法管理”。Thomas 主张不要放弃 AI 漏洞挖掘，而是用 AI 过滤重复与无效报告、评估严重性并辅助修复，并由 OpenSSF 等协作机制为维护者减负。
深度见解
开源组件牵动大量下游应用与供应链安全，一旦维护者被 AI 制造的报告噪音淹没，AI 带来的漏洞发现能力反而可能削弱整体防御效率。