Simon Willison 转评 bug 传闻即可被利用

Simon Willison 转评剑桥教授、OCaml 编译器内核维护者 Anil Madhavapeddy 的一篇担忧文章：现代编码 agent 已强到「仅凭 bug 传闻」就能在数分钟内找到并复现安全漏洞，这正在瓦解开源社区既有的 embargo（延迟披露）流程。

Anil 在发布 cohttp 6.3.0 路径遍历修复的 PR 后，自己的网站在约 10 分钟内就收到符合该漏洞模式的 percent-encoded 遍历探测，此前这类探测通常要几天后、修复发布一两周内才出现。他用自家 agent 验证了这一点——DeepSeek V4 Pro 在 Claude Fable 因安全限制拒绝后，仅凭漏洞大致描述就独立找出了多个相关问题并生成本地 exploit。

💡 为什么值得看OCaml 补丁公开约 10 分钟即遭探测，编码 agent 让开源 embargo 流程失效，rclone 单月收 40 条披露佐证。