谷歌AI漏洞猎手“Big Sleep”在开源软件中发现并报告了20个安全漏洞

🔍 一、产品介绍

Big Sleep 是由谷歌旗下 DeepMind 实验室与精英黑客团队 Project Zero 联合开发的AI漏洞挖掘工具。该项目通过大语言模型（LLM）的代码理解与动态行为模拟能力，在无需人工干预的情况下自主扫描、识别并复现软件漏洞。2025年8月，Big Sleep 在 FFmpeg、ImageMagick 等流行开源库中发现首批20个安全漏洞，涵盖内存溢出、边界访问错误等高风险问题。

👥 二、适用人群

⚙️ 三、核心功能与技术实现

1. 多模态代码分析

• 技术原理：融合静态代码解析与动态行为模拟，通过LLM理解代码语义逻辑，识别非常规漏洞模式（如堆栈缓冲区下溢）。
• 案例：在SQLite中发现传统模糊测试遗漏的魔法值-1索引漏洞（CVE-2025-6965）。

2. 沙盒化动态验证

• 工作流：

  目标代码导航 → 生成Python测试脚本 → 沙盒环境执行 → 调试器监控异常 → 漏洞复现报告

• 优势：避免误报，确保漏洞可被稳定触发。

3. 变体漏洞挖掘

• 技术突破：基于已知漏洞模式（占零日漏洞的40%），通过LLM推理定位代码变体，解决模糊测试的“自然饱和”问题。

4. 自适应学习引擎

• 迭代机制：根据验证结果优化检测策略，例如调整代码路径覆盖权重，提升复杂漏洞捕获率。

🛠️ 四、工具使用技巧

高阶操作指南

✨ 避坑提示

避免直接扫描非稳定分支代码——未编译版本可能包含临时调试断言（Assert），导致误判为漏洞（如SQLite案例中的调试检查）。

🌐 五、访问地址

• 项目主页：https://deepmind.google/technologies/big-sleep/ （需申请内测权限）
• 漏洞报告流程：
  1. AI自主发现漏洞 → 2. 人类专家验证 → 3. 提交至开源维护者

💎 结语：Big Sleep 的突破不仅在于发现20个漏洞，更在于其验证了“AI+人类”协同防御的可行性。随着AI在边界检查、配置分析等领域的深化，自动化安全防护的黄金时代正在加速到来。