← EasyTool.me

Mythos 发现 curl 漏洞 — 安全指南与影响分析

发布日期：2026-05-11 阅读时间：8 分钟 分类：安全 / curl 项目

事件概述 — Mythos 扫描 curl

2026 年 5 月 11 日，Daniel Stenberg — curl 的创造者和核心维护者 — 发表了一篇博客文章 "Mythos finds a curl vulnerability"，记录了使用 Anthropic 的 Mythos AI 模型 对 curl 进行源码安全分析的结果。这篇文章迅速登上了 Hacker News 首页。

最终结论：Mythos 在 curl 中发现了一个已确认的低严重性漏洞，将作为 CVE 随 curl 8.21.0 版本（预计 2026 年 6 月下旬）一起发布。考虑到 curl 已有 188 个 CVE 且经受着持续的安全审计，Mythos 在 17.8 万行代码中只发现了一个真正的问题，这反而是对 curl 安全水平的肯定。

原文来源：Daniel Stenberg 的博客

本分析基于 Daniel Stenberg（curl 项目创始人兼首席开发者）在 daniel.haxx.se 发布的原始博客文章。Stenberg 是 curl 的原创作者，已维护该项目超过 25 年。文章详细记录了通过 Linux 基金会 Alpha Omega 项目获得 Mythos AI 安全扫描的第一手经历。

Stenberg 在文章中写道："我们怀着极大的期待收到了第一份用 Mythos 生成的源码分析报告。又一次机会让我们找到可以改进的地方、修复问题，让 curl 变得更好。"

Mythos 与 Glasswing 项目背景

2026 年 4 月，Anthropic 因其新 AI 模型 Mythos 在发现源代码安全漏洞方面的卓越能力而成为头条新闻——以至于 Anthropic 决定不向公众发布该模型，而是通过 Project Glasswing 向选定的组织提供访问权限。

Linux 基金会通过其 Alpha Omega 项目（隶属于 OpenSSF）为开源项目争取到了模型的使用权。Stenberg 被联系并获得了使用机会。经过数周的合同延迟后，他得到替代方案：由已经拥有 Mythos 访问权限的人代为对 curl 代码库运行扫描。

Stenberg 对此并不太在意："无论如何，让工具生成一份初步的适当扫描和分析就很棒了。"

扫描结果：五个宣称，一个确认

Mythos 报告分析了 curl 的 git 仓库（master 分支，提交 455bebc2），扫描了 src/ 和 lib/ 目录中的 17.8 万行代码。

报告中有一个有趣的注释："curl 是现有最受模糊测试和审计的 C 代码库之一（OSS-Fuzz、Coverity、CodeQL、多次付费审计）。在热点路径（HTTP/1、TLS、URL 解析核心）中找到任何东西的可能性很低。"——而结果也确实在这些区域没有发现任何问题。

结果对比

Mythos 最初声称发现了 五个"已确认安全漏洞"。经过 Stenberg 和 curl 安全团队的审查：

Stenberg 对这个"已确认"的措辞感到有趣："当 AI 自己自信地说它是已确认的时候，我觉得这个词有点好笑。是的，AI 认为它们是已确认的，但 curl 安全团队有稍微不同的看法。"

除了漏洞之外，Mythos 还发现了大约 20 个 bug，均已被描述和解释得很好，正在逐一修复。Stenberg 对报告质量给予了肯定："总共约 20 个 bug，描述和解释都非常到位。几乎没有误报。"

CVE 时间线

这个确认的漏洞严重性为低。完整细节将在 curl 8.21.0 发布时公开。Stenberg 表示："这个漏洞不会让任何人喘不过气来。"

curl 的规模：地球上最普及的网络库

要理解 curl 任何一个漏洞的严重性，你需要了解它的规模：

curl 运行在 每一部智能手机、平板、汽车、电视、游戏机和服务器 上。它是几乎所有操作系统、编程语言运行时和开发框架中 HTTP 请求的底层引擎。

curl 的安全实践：行业领先水平

Mythos 扫描只是 curl 长期安全分析历程中的最新一环。curl 的安全方法包括：

Stenberg 强调："你需要搜索很久很久才能找到另一个在软件安全方面比 curl 做得更多或走得更远的软件项目。"

关于 AI 驱动的高质量安全报告 的大趋势，Stenberg 在 4 月的博客 "High Quality Chaos" 中已有论述——安全研究人员正在广泛而有效地使用 AI 来发现 bug。

影响分析

这个特定 CVE 的实际影响是 低的。该漏洞将在 curl 8.21.0 中修复。然而，更广泛的意义值得注意：

给用户和开发者的建议

1. 在 curl 8.21.0 发布时更新

2. 了解 libcurl 依赖链

3. 关注 curl 安全公告

4. 对开发团队的建议

深层次思考：AI 在漏洞发现中的角色

Mythos-curl 的故事是一个关于高级 AI 与软件安全交叉的案例研究：

curl 用户在 curl 8.21.0 发布时更新即可。地球上最广泛使用的网络库仍然由顶尖的安全实践守护着。

总结

Mythos 对 curl 17.8 万行 C 代码进行了安全扫描，发现了一个已确认的低严重性漏洞 — 这个结果更多地是对 curl 卓越安全实践的肯定，而非暴露了任何重大弱点。该 CVE 将在 2026 年 6 月下旬随 curl 8.21.0 一起发布。

核心要点：

原文来源：Daniel Stenberg — Mythos finds a curl vulnerability

延伸阅读：Daniel Stenberg — High Quality Chaos (2026 年 4 月) | Anthropic — Project Glasswing | OpenSSF — Alpha Omega