摘要： OpenSSL 於 2026 年 1 月 27 日發布協調式修補，處理 AISLE 自主 AI 分析器找到的 12 個零日漏洞，其中 CMS 解析路徑的堆疊緩衝區溢位獲 NIST 評為 CVSS 9.8。12 個 CVE 有 5 個直接沿用 AI 建議修法，文章提醒加密相依套件升級與 AI 發現漏洞應納入威脅模型。
2026 年 1 月 27 日,OpenSSL 推出一次協調式安全修補,一口氣處理掉 12 個零日漏洞——所謂零日,是指直到通報之前,維護者對這些問題的存在一無所知。真正值得記下的是背後的來源:這 12 個漏洞全部出自同一家公司 AISLE 打造的自主 AI 分析器。情況最嚴重的一個被 NIST 評為 CVSS 9.8 臨界等級,而歷史最久的問題程式碼要回溯到 1998 年,比 OpenSSL 專案本身還要早。
Bruce Schneier 對整件事只留下一句話:「AI 漏洞發現正在改變網路安全,而且比預期更快。」
12 個 CVE,全部出自同一套自主分析器
AISLE 的本業是自主漏洞發現工具,這場狩獵從 2025 年 8 月展開:一台不停運轉的 AI 分析器,專門翻找人類審計無法逐一檢查的程式路徑與邊界條件。本次協調發布的 12 個 CVE,來源清一色是這套系統,掛名的研究人員為 Stanislav Fort、Petr Šimeček、Tomas Dulka 與 Luigino Camastra。每份報告都附帶重現步驟、根因分析與修補建議——12 個 CVE 裡有 5 個,官方直接沿用了 AI 建議的修法。另有 6 個發現動作更快,在進入出貨版本之前就已經修畢,因此連 CVE 編號都不需要。
把 2025 年一整年攤開來算,這批成果相當於 OpenSSL 該年度 14 個 CVE 裡的 13 個。OpenSSL CTO Tomáš Mráz 的說法是:「OpenSSL 函式庫安全性的最重要來源之一,就是獨立研究」,同時也向報告方致謝,稱許其「高品質與建設性合作」。
CVSS 9.8:在 CMS 解析器裡潛伏數十年的溢位
整批發現中風險最高的是 CVE-2025-15467,一個位於 CMS AuthEnvelopedData 解析路徑的堆疊緩衝區溢位:OpenSSL 自評為 High,NIST 則開出 CVSS v3 9.8(臨界)。發動攻擊不需要有效的金鑰材料,公告釋出後沒多久,概念驗證 exploit 就已經在網路上流通。其餘 11 個包含 1 個中風險(PKCS#12 的 PBMAC1 參數驗證缺失)與 10 個低風險,後者橫跨 QUIC 密碼套件處理時的當機、行緩衝造成的記憶體損壞、TLS 1.3 憑證壓縮引發的記憶體耗盡、硬體加速路徑上的 OCB 加密缺陷,以及會無聲截斷 ML-DSA 後量子簽章的問題——被波及的子系統超過 8 個。
更驚人的是時間軸:有三個漏洞的程式碼寫於 1998 至 2000 年間,其中一個甚至比 OpenSSL 還老,是從 1990 年代 Eric Young 的 SSLeay 實作一路繼承而來。
上百萬小時 Fuzzing 加上二十年審計,為什麼統統錯過
這些程式碼絕不是無人聞問。OpenSSL 吃過上百萬 CPU 小時的 fuzzing 轟炸,二十年來也被多輪審計翻過,審計者包括 Google 的團隊。AI 分析器這回挖到的,是埋在協定解析分支裡、必須跨子系統推理才看得見的邊界情況——正好落在「fuzzing 難以觸發、人工審計難以窮舉」兩者的交會處。Schneier 文章的留言區有人點出背後模型是 Claude Opus 4.6(AISLE 未證實);無論底下跑的是什麼,真正的重點在流程:持續運行、把發現漏洞當成明確目標,並交出能直接付諸行動的報告與修補。
這是防守方的優勢,還是攻擊方的機會?
AI 挖漏洞究竟讓誰佔上風?Schneier 給的答案是「攻防兩用」。樂觀的一方把優勢記在防守端:漏洞趕在出貨前就被消滅,修補建議隨著發現一起送達。懷疑的一方隨即反擊:攻擊者手上只要有一個未修補的缺陷就夠了,修補空窗期間照樣有得利用,更何況「找到一些漏洞」不代表覆蓋全部。兩邊論點都站得住腳,不過對營運團隊而言,唯一能確定的是時間常數已經不同——從「漏洞被發現」到「exploit 出現在網路上」的空檔持續變短,修補 SLA 也非得跟著縮短不可。
開發者要注意的三件事
第一件,把 OpenSSL 與各個密碼學相依套件的升級排進高優先級:12 個 CVE 已在同一波修補中全數處理完畢,從今天起任何未更新的舊版都是已被標記的戰場。第二件,系統裡重度依賴 CMS、PKCS#12、QUIC 或 ML-DSA 路徑的部分,先核對版本與配置,會解析不受信任輸入的服務尤其如此。第三件,把「AI 發現的漏洞」正式寫進威脅模型:「這段程式碼二十年沒出事」這種歷史紀錄,已經不能再當成安全的證據。