北京
zkSecurity团队把自家的AI审计管线指向Cloudflare的CIRCL实验密码库，结果确认了7个真实漏洞。最严重的一个是阈值RSA方案中的float64精度丢失，另一个是基于属性加密的完整访问控制失效。目前这7个漏洞已全部在上游修复，部分还拿到了HackerOne上的赏金。
这支团队正在构建一个叫zkzao的AI审计代理，目标很直白——让AI持续盯着代码，直到其他AI工具再也找不到漏洞。整个构建过程是一轮轮迭代：把安全研究员的知识系统化编码进zkzao，确保它能抓住最新、最致命的漏洞，同时又不会陷在基准测试的套路里。这个过程还不断用实验去摸清什么手法管用、什么不行，大模型如何进化，以及用AI找漏洞的底层逻辑到底是什么。
对zkSecurity来说，这些实验还有第二层价值——它们会沉淀成zkzao的基准测试套件，同时反复揭示大语言模型在理解密码学时的推理模式：哪些场景灵敏得像老手，哪些死角总是视而不见。他们最在意的不是挖出的漏洞本身，而是背后AI的推理行为。
实验设计了两套配置：一套只用大语言模型配简单提示词，另一套由团队专家维护“技能”，让大语言模型带上技能再去扫描。在几个重要的开源密码项目中，如果大语言模型发现了真漏洞，接着就让zkzao独立跑一遍，看它能不能复现同样的发现。多数情况下，zkzao不仅抓到全部，还能找出复杂度更高、危害更大的问题。
正方观点很清晰：AI审计管线已经能在真实的密码库中产出可用的漏洞报告，效率远超纯人工初筛。以CIRCL为例，7个确认漏洞覆盖精度丢失到权限绕过，说明机器对密码实现中的数值错误和逻辑缺陷都有一定嗅觉。
反方立场同样站得住脚：AI产出的只是候选发现，不是最终报告。每一个候选漏洞都要人工验证、确认可利用性、精简验证代码，再走完负责任披露流程。带人的闭环之所以重要，是因为AI候选发现很廉价，但值得信赖的报告却从来不便宜。
双方的张力恰好落在“推理模式”这个点上。机器在密码学上的擅长和盲区尚未被充分测绘，把它当作一个不断试错的伙伴，让人类去放大它的敏锐、兜底它的盲区，比争论“AI能不能取代审计员”务实得多。这也是zkSecurity把实验与产品迭代缠在一起滚动的根本原因：用持续实验喂养一个会进化的审计代理，而不是迷信某一个模型的单次表现。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
