文章总结： AutoCVE是一款国产开源多智能体AI漏洞挖掘平台，在7天测试周期内成功挖掘并提交30个真实CVE漏洞，覆盖14个主流开源项目，多个漏洞CVSS评分高达9.9分。该工具采用五智能体协同架构，擅长SSRF、鉴权绕过等逻辑类漏洞挖掘，同时支持三种审计模式和可视化追踪。文档强调AI在标准化漏洞挖掘上效率高，但无法完全替代人工深度研究，并提醒用户需遵循负责任漏洞披露原则。 综合评分： 77 文章分类： 漏洞分析,安全工具,AI安全,实战经验

7天挖出30个真实CVE！国产开源AI漏洞挖掘平台打出硬核实战战绩

原创

维度攻防 维度攻防

维度攻防

2026年7月2日 09:09 安徽

在小说阅读器读本章

去阅读

当下市面上绝大多数AI漏洞挖掘工具，基本都停留在靶场演示、PPT概念阶段，很难产出真实可核验的高危漏洞。

而一款国人开源、多智能体驱动的全自动CVE挖掘工具 AutoCVE，交出了实打实的硬核成绩单：

7天测试周期，成功挖掘并提交30个真实CVE漏洞，覆盖14个主流开源项目，多个漏洞CVSS评分高达9.9分严重级别。

没有虚标数据、没有模拟靶机，全部可在官方CVE数据库溯源核验。

01 硬核实战战绩：多款知名开源项目被爆高危漏洞

AutoCVE 本次产出的30个CVE漏洞，覆盖媒体服务、表单搭建、数据可视化、后台管理、开源社区等多款常用开源项目，高危漏洞密集度极高。

部分代表性高危漏洞如下：

✅ Tautulli（Plex媒体服务器监控工具）

爆出3个高危漏洞，其中 CVE-2026-43986 SSRF漏洞 9.9分（严重级别），同时包含存储型XSS、CSRF高危缺陷。

✅ typebot.io（开源对话表单构建工具）

一次性挖出5个漏洞，核心漏洞CVE-2026-48765 鉴权绕过 9.9分，可直接越权接管后台，同时存在SSRF、权限缺失、敏感数据泄露等问题。

✅ Chartbrew（数据可视化工具）

累计5个访问控制、授权逻辑漏洞，属于典型权限体系失效风险。

✅ 其他主流项目

Lemmy去中心化社区、o2oa、xxl-job、JeecgBoot 等，被检出 SSRF、RCE远程代码执行、SQL注入、硬编码密钥等高危漏洞。

02 从漏洞分布，看懂当前AI挖洞的真实能力边界

本次30个真实CVE，非常直观地展现了现阶段AI代码审计的优势与短板：

AI最擅长的漏洞类型：

SSRF服务端请求伪造、各类鉴权绕过、授权缺失、访问控制失效。

这类漏洞依托代码语义、调用链路即可精准识别，AI命中率远高于传统扫描器。

AI目前的短板：

高度复杂、依赖深层业务逻辑的漏洞，仍需要人工安全研究员深度研判，AI暂时无法替代。

03 核心优势：五智能体协同架构，告别高误报痛点

不同于市面上“单AI一刀切”的扫描工具，AutoCVE 采用 Multi-Agent多智能体协同架构，五大专项Agent分工明确、层层校验，大幅降低误报率。

🔹 Recon Agent 侦察智能体

自动识别项目技术栈、代码结构、依赖组件，完成全自动资产摸底。

🔹 Scan Agent 扫描智能体

调用专业安全扫描工具，批量输出初步风险点位。

🔹 Triage Agent 误报过滤智能体

核心降噪模块，解决传统SAST工具“扫一堆、全是误报”的通病，精准筛选有效漏洞线索。

🔹 Finding Agent 深度审计智能体（核心）

依托ReAct循环机制做源码语义深度推理，专门挖掘传统工具扫不出的逻辑类高危漏洞、0Day漏洞。

🔹 Verification Agent 验证智能体

动态验证漏洞可利用性，确保每一个漏洞均可复现，杜绝虚假漏洞。

04 三种审计模式，适配不同工作场景

为兼顾扫描速度与挖掘深度，AutoCVE 内置三种可自由切换的审计模式：

1、增强扫描｜快速摸底

工具扫描+AI误报过滤，速度快、资源消耗低，适合批量项目快速巡检。

2、智能审计｜0Day/CVE挖掘首选

跳过常规工具扫描，直接源码语义深度分析。本次30个高价值CVE，大多出自该模式。

3、综合审计｜全量深度检测

工具扫描+AI深度审计双并行，覆盖最全，适合核心业务系统专项安全审计。

05 可视化可复盘，解决AI审计“黑盒痛点”

很多AI安全工具只给结果、不给逻辑，人工复核极其困难。

AutoCVE 支持全流程可视化追踪 + 交互式会话追问：

✅ 完整记录Agent调用链路、审计日志、推理过程

✅ 可随时追问，补充攻击链、复现步骤、漏洞细节

✅ 自动生成标准化漏洞报告，满足CVE申报证据链要求

06 一键部署，零基础快速上手

项目开源（AGPL-3.0），支持Docker一键部署，一行命令即可搭建完整AI漏洞挖掘平台。

Linux / MacOS 部署命令

#

curl -fsSL https://raw.githubusercontent.com/larlarua/AutoCVE/v1.0.3/docker-compose.prod.yml \ | docker compose -f - up -d

Windows PowerShell 部署命令

curl.exe -fsSL https://raw.githubusercontent.com/larlarua/AutoCVE/v1.0.3/docker-compose.prod.yml | docker compose -f - up -d

源码编译部署

git clone https://github.com/larlarua/AutoCVE.gitcd AutoCVEdocker compose up -d --build

访问地址

前端控制台：localhost:3000

接口文档：localhost:8000/docs

07 重要合规提醒：自动化 ≠ 随意提交漏洞

官方明确强调：AutoCVE 只负责自动化审计、自动化出报告，不自动提交CVE。

所有漏洞披露，必须人工复核、遵循项目安全规范与负责任漏洞披露原则，严禁未经审核随意上报，规避合规风险。

08 总结

AutoCVE 是目前国内开源圈少有的、用真实CVE实战战绩落地的AI漏洞挖掘项目。

它清晰印证了当下AI安全的价值：在标准化逻辑漏洞挖掘上效率拉满，但无法完全替代人工深度安全研究。

对于代码审计、开源安全巡检、CVE挖掘研究人员来说，这款工具值得部署实测、深度研究。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：维度攻防 维度攻防 维度攻防《7天挖出30个真实CVE！国产开源AI漏洞挖掘平台打出硬核实战战绩》