डच National Cyber Security Centre ने पाँच दिनों तक संगठनों से एक ऐसे बग को लेकर चिंतित रहने को कहा जो कभी था ही नहीं। 29 जुलाई को NCSC ने एडवाइज़री NCSC-2026-0268 प्रकाशित की, जिसमें CVE-2026-51302 को लेकर चेतावनी दी गई थी। इसे SQLite 3.41 में मेमोरी करप्शन की खामी बताया गया था, जिसकी गंभीरता रेटिंग 10 में से 10 तक थी। सोमवार को एजेंसी ने सिर्फ एक अतिरिक्त पंक्ति जोड़कर एडवाइज़री वापस ले ली, जिसमें कहा गया कि यह CVE रद्द कर दिया गया है और यह भेद्यता बहुत संभव है कि किसी लार्ज लैंग्वेज मॉडल की हैलुसिनेशन थी।
इस पूरे मामले के खुलने का दस्तावेज़ीकरण JFrog की सिक्योरिटी रिसर्च टीम ने किया है, जिसने इस CVE का सुराग programmervuln नाम के एक GitHub अकाउंट तक पहुँचाया, जिसने SQLite की 55 भेद्यता एडवाइज़री प्रकाशित की थीं। JFrog के ऑडिट में पाया गया कि इनमें से 54 पूरी तरह गढ़ी हुई थीं और एक में असली बग तो था, लेकिन वह असत्यापित CVE मेटाडेटा में लिपटा हुआ था। जैसे ही किसी ने वाकई गौर से देखा, यह गढ़ंत ज़रा भी सूक्ष्म नहीं रह गई। एडवाइज़री में जिन फंक्शनों का हवाला दिया गया था, वे बताए गए SQLite संस्करणों में मौजूद ही नहीं हैं, संदर्भित लाइन नंबर फाइलों के अंत से आगे इशारा करते हैं, प्रूफ ऑफ कॉन्सेप्ट पेलोड AddressSanitizer के तहत चलाने पर कुछ भी क्रैश नहीं कर पाए, और इनमें से कोई भी CVE SQLite के अपने भेद्यता पेज पर दर्ज नहीं है। खुद टेक्स्ट ने AI डिटेक्शन टूल GPTZero की चेतावनियाँ ट्रिगर कर दीं।
असल सवाल यह है कि किसी के जाँचने से पहले यह कल्पना कितनी दूर तक पहुँच गई। MITRE का सार्वजनिक CVE सबमिशन फॉर्म पहचान का कोई वास्तविक सत्यापन नहीं करता, इसलिए यह अकाउंट कम से कम छह CVE पहचानकर्ता हासिल करने में कामयाब रहा, जिनमें से चार को क्रिटिकल या हाई रेटिंग मिली, जिनमें दो के स्कोर 9.8 और एक का 9.1 था। NIST ने 2024 की शुरुआत में बैकलॉग बढ़ने के बाद सबमिशनों का मैनुअल विश्लेषण घटा दिया था, जिससे वह परत हट गई जो शायद कभी इसे पकड़ लेती। वहाँ से ये स्कोर अपने आप उन डेटाबेसों में बहते चले गए जिनका इस्तेमाल वल्नरेबिलिटी स्कैनर, डिपेंडेंसी चेकर और राष्ट्रीय रिस्पॉन्स टीमें करती हैं। नीदरलैंड्स में यह पाइपलाइन एक सरकारी एडवाइज़री पर जाकर खत्म हुई, जो संगठनों से पैच करने को कह रही थी।
इस तरह के प्रदूषण के लिए SQLite सबसे बुरा लक्ष्य है, क्योंकि यह दुनिया में सबसे व्यापक रूप से तैनात सॉफ्टवेयर में से एक है, जो ब्राउज़रों, फोनों, ऑपरेटिंग सिस्टमों और अनगिनत ऐप्लिकेशनों में समाहित है। इसके खिलाफ कोई क्रिटिकल स्कोर ध्यान खींचने की गारंटी है। JFrog के शोधकर्ताओं ने इसकी कीमत साफ शब्दों में बताई। उन्होंने लिखा कि ये LLM स्लॉप CVE संगठनों का समय ऐसी भेद्यताओं की जाँच और पैचिंग में बर्बाद करवा सकते हैं जो असल में मौजूद ही नहीं हैं, और साथ ही भेद्यता डेटाबेसों को भी प्रदूषित करते हैं। यह कीमत असली घंटों में चुकाई गई, उन सिक्योरिटी टीमों ने जिन्होंने अलर्ट की छानबीन की, और उस राष्ट्रीय एजेंसी ने जिसने चेतावनी जारी की और फिर उसे वापस लेना पड़ा।
इस कहानी का स्वस्थ हिस्सा खुद यह वापसी है, और जिन जाँचों ने आखिरकार इस धोखे को पकड़ा, यानी सोर्स कोड पढ़ना, एक्सप्लॉइट चलाकर देखना, वेंडर के अपने सिक्योरिटी पेज को देखना, वे ठीक वही जाँचें हैं जिन्हें पाइपलाइन ने रास्ते में छोड़ दिया था। जो समस्या बची रहती है, वह है यह विषमता। एक लैंग्वेज मॉडल सेकंडों में एक विश्वसनीय लगने वाली एडवाइज़री तैयार कर सकता है, जबकि एक दावे को गलत साबित करने में शोधकर्ताओं को घंटों की हाथों से की गई पड़ताल लगी। CVE सिस्टम इस धारणा पर बना था कि भेद्यता रिपोर्टें सद्भावना से जमा की जाती हैं, और अब इस धारणा को ऐसे टूलों के सामने टिकना होगा जो बड़े पैमाने पर आत्मविश्वास से भरी, सुगठित काल्पनिक सामग्री गढ़ सकते हैं।