AI 复刻 Apache 漏洞越挖越长尾，作者坦言不知何时收敛
jdpressman 正在进行一项持续实验：让 AI 模型对抗性地挖掘自己用 AI 写的 Apache 实现 vapache 的漏洞。结果是漏洞不断涌现、以 Apache2 ACL 语义实现的长尾逻辑错误为主，而他完全不知道这场挖洞何时才能收敛，这恰恰是最让他害怕的地方。vokaysh 建议参照 CISA 的 Known Exploited Vulnerabilities 目录做威胁情报引导的加固。
已确认
- 实验的对抗模型是 DeepSeek 4.1 Flash，仅被指示寻找 vapache 自身的漏洞；依赖库与底层 Linux 环境不在范围内，因为那不是实验重点。
- jdpressman 解释持续爆洞并非「模型变笨」，本质是 Apache 配置访问控制列表（ACL）语义实现中逻辑错误的长尾越来越长。
- 许多 bug 来自以真实 Apache2 为参照（oracle）的 fuzzing，他认为这证明原则上问题是可以收敛解决的。
- 备选方案：从定义上讲至少可做到与真实 Apache2 ACL 逻辑对齐；若实在无法做到真正安全，则只支持 Apache2 配置的一个子集，或转向做 nginx。
- vokaysh 提出做「威胁情报引导的加固」，并贴出 CISA 的 Known Exploited Vulnerabilities 目录供参考。
尚未确认
- vapache 的漏洞修复何时能收敛：面对「跑够多 token 就会达到安全稳态」的说法，jdpressman 坦言完全不知道何时能把漏洞修干净，这正是最令他不安之处。
为什么重要
- 该实验直接检验了「AI 写的复杂系统软件能否达到安全稳态」这一问题：bug 长尾迟迟看不到尽头，对依赖 AI 生成安全关键代码的实践是一个警示信号。
2026-10-28 ~ 2026-10-28 · 7 条相关
一手来源
- 让 AI 找 vapache 漏洞：越挖越长尾，「不知道何时收敛才最可怕」 — jd_pressman ·
- 作者称原则上能追平 Apache2 ACL 逻辑，不行就砍功能或换 nginx — jd_pressman ·
- 以 Apache2 为 oracle 的 fuzzing 挖出长尾 bug，作者怕的是不知道尽头 — jd_pressman ·
- AI 写的 Apache 复刻版被 fuzz 到没完没了，附上 CISA KEV 目录求「威胁情报加固」 — jd_pressman · 2026-10-28
- 不是模型变笨：vapache 暴露的是 ACL 语义实现的长尾逻辑错误 — vokaysh · 2026-10-28
- vapache 漏洞挖掘限定范围：只找自身逻辑洞，不含依赖与系统层 — jd_pressman · 2026-10-28
- 用 DeepSeek 4.1 Flash 当「攻击者」 fuzz 自己的 vapache — vokaysh · 2026-10-28
- 【源头】让 AI 找 vapache 漏洞：越挖越长尾，「不知道何时收敛才最可怕」 — jd_pressman · 2026-10-28
- 【源头】以 Apache2 为 oracle 的 fuzzing 挖出长尾 bug，作者怕的是不知道尽头 — jd_pressman · 2026-10-28
- 【源头】作者称原则上能追平 Apache2 ACL 逻辑，不行就砍功能或换 nginx — jd_pressman · 2026-10-28