vibe coding 写 fuzzer 挖出 FFmpeg 零除漏洞
推荐指数 68.0 NO. 017 · 2026.08.28
发布2026/08/27Score180Comments139
为什么值得看
开发者用 AI 辅助编程（vibe coding）快速写了一个 fuzzer，成功在 FFmpeg 中发现了一个除零 bug。这意味着 AI 辅助安全测试的门槛正在大幅降低，传统需要深厚二进制安全经验的工作现在可以更快启动。
编辑判断
传统 fuzzer 开发需要精通 AFL、libFuzzer 的 API 和 C 代码结构，周期常以周计。这个案例里开发者用 AI 几小时就搭出了能跑的有效 fuzzer，说明安全工具的民主化正在发生。
对 AI 工程师的启示是：不要只把 vibe coding 用在业务代码，基础设施和安全工具同样是高杠杆场景。如果你维护 C/C++ 依赖库，现在就可以用类似思路给核心路径加 fuzz 覆盖，成本远低于雇佣专门的安全工程师。
但要注意，这个 fuzzer 本身并不复杂——真正价值在于快速验证假设。复杂的状态机漏洞或需要特定语义的 bug，AI 目前仍难以独立发现，人机结合仍是最佳模式。
社区反馈
意见分歧 103 条评论
核心争论：AI 降低安全测试门槛的同时，能否解决其带来的代码质量与审查负担问题
相关内容
Autonomously Finding 7 FFmpeg Vulnerabilities With AI - ZeroPath Blog ZeroPath 使用 AI 代理在 FFmpeg 中发现 7 个漏洞，包括 RTMP 协议解析中的零除漏洞，展示 AI 驱动模糊测试的实际案例。 21 Zero-Days in FFmpeg | depthfirst 深度分析 FFmpeg 150 万行 C 代码的复杂性，以及 AI 代理如何发现 21 个零日漏洞，涵盖 TS demuxer 到 VP9 decoder。 研究人員以1千美元用AI發現FFmpeg 21項零時差漏洞 AI 代理以仅 1000 美元成本发现 21 个 FFmpeg 零日漏洞，成本仅为 Anthropic Mythos 项目的 10%，展示 vibe coding 在安全研究中的经济效益。
It’s interesting how AI may both raise and lower the quality of software. It’s very easy to send an AI agent on an open-ended bug hunt, and if it wastes a bunch of time and effort and finds nothing, no big deal. Time is much more important for a human developer with a salary.
I don't care if you call it an over-engineered looping machine or what, there are concrete benefits to using LLMs for this. They work faster than developing your own looping algorithm and more often produce useful results than not.
It's not even like fuzzers are valuable because of the process they use specifically either; the value is that they produce a concrete input that you can use as a reproducible test case at that point. The value could be produced by gazing into a crystal ball for all I care, as long as I can use what