The Verge 於 4 月 29 日報導,GitHub 在 Wiz Research 揭露後不到 6 小時內修復了一項嚴重的遠端程式碼執行漏洞。該漏洞位於 GitHub 的內部 git 基礎設施中,可能讓攻擊者存取「數百萬公私程式碼儲存庫」(Wiz 表述)。真正值得注意的是發現方法:Wiz 使用 AI 模型找出該漏洞。據 Wiz 研究員 Sagi Tzadik,「這是在閉源二進位中透過 AI 發現的首批嚴重漏洞之一,標誌著此類缺陷被識別方式的轉變。」據 GitHub CISO Alexis Walesa:40 分鐘內內部重現;兩個多小時內完成驗證、並把修復部署到 github.com;之後做的鑑識調查顯示並未被利用。從 Wiz 揭露到 GitHub.com 與 GitHub Enterprise Server 都打上補丁,總計 6 小時左右。
兩個技術訊號尤其值得記住。第一,「閉源」這個限定詞很重要。公開的 AI 漏洞研究,多數是針對開源程式碼 —— 模型可以直接讀原始碼。在閉源 git 二進位裡透過 AI 發現嚴重的 RCE,意味著模型是在從二進位本身、流量、觀察到的輸入,或 fuzzing 結果中推理 —— 更難、對安全研究更具實質意義,且是對威脅模型的一次可信遷移。第二,Wiz 把該 bug 描述為「極其容易利用」,儘管 GitHub 底層系統本身相當複雜。「容易利用 + 藏在複雜系統中」這一組合,正是 AI 驅動的 fuzzing 與模式比對最擅長揪出的失敗模式。預計 2026 年內還會陸續出現具備此畫像的揭露。
這件事落在 GitHub 當前的可靠性敘事之中。Tom Warren 在 The Verge 的報導指出,該補丁出現在「GitHub 一次重大當機(對部分使用者隨機回滾已合併 commit)發生數日之後」,加上「上一週的其他幾次當機」—— 這延展了我們昨天寫過的多服務當機(Issues 20 小時、Pages 20 小時、Actions 14 小時)。Warren 引述一位匿名 GitHub 員工:「公司在崩 —— 既崩在那些真的真的非常糟糕、把公司聲譽燒穿的當機上,也崩在領導層的出走上。」安全這一面拿到一個正分 —— 6 小時內修復且未發現被利用,堪稱優秀 —— 但它落在 GitHub 營運健康度公開被質疑的語境裡。4 月 28 日 Copilot 的計費重置、連日的當機叢集,加上現在這條由 AI 揭露的 RCE,構成了一條 4 月以來連續的故事線。
對 builders,三件具體事情。第一,在閉源二進位中由 AI 驅動的漏洞發現,如今是一項可信且已被演示的能力。如果你出貨二進位、並假定「對方拿不到原始碼即可避開自動化漏洞發現」,請更新你的威脅模型。第二,你的 bug bounty 之效力,衡量標準是修復-部署速度,而不僅僅是賞金大小。GitHub 為該次揭露支付了「我們 Bug Bounty 專案裡可獲最高等級的獎金之一」,而揭露-到-修復這條路徑之所以能跑通,是因為 GitHub 具備能在 6 小時內完成驗證與打補丁的營運基礎設施。兩半都重要。第三,即便你今天不換 git 主機,GitHub 的趨勢對你的託管決策依然重要。可靠性敘事 + 領導層出走 + AI 揭露的嚴重漏洞,這是那種最終會讓維護者慢慢遷移 mirror 的模式。注意 2026 年裡高知名度專案的mirror 公告 —— 這種模式經常先由少數知名維護者起頭,隨後形成連鎖。