安全研究员:开源模型刷榜不等于攻击力,PHP 漏洞实测大多失败
banteg · x · 2026-10-21
安全研究者 S1r1u5(经 banteg 转发)就一个 PHP 漏洞的众测结果发表了实质观点:
- 开源模型与前沿模型之间仍有可观差距,而「前沿模型单独用」和「前沿模型配熟练研究员」之间的差距更大。
- 大量的人向这个 PHP 漏洞狂丢 token,产出的 PoC 基本都是垃圾。
- 网上常见的 benchmark 饱和不等于真实的前沿攻击能力;DeepSeek Flash、Kimi K3 之类或许能为不少漏洞写出利用,但能力差距依然显著。
- 拥有比对手更强的模型本身是优势,与熟练研究员配合会让防御方的优势更大——参与此研究的所有人都用上了最强的网络安全模型。
- 作者认为应当保留这种攻防能力差距,而非不加审视地否定其防御价值。
「模型」频道最新
- Sentdex 两天用 DeepSeek V4.1F 烧掉超 10 亿 token — Sentdex · 2026-10-21
- Anthropic 工程师发布 11 页 Graph Engineering 指南,改进 Karpathy Loop — mdancho84 · 2026-10-21
- Surge AI 两大基准霸榜 Papers with Code，Anthropic 与 DeepSeek 都在用 — NielsRogge · 2026-10-21
- Grok 时间线响应速度显著提升,用户实测直呼惊人 — MickeySteamboat · 2026-10-21
- Notion 揭秘模型路由器 Auto：复用 Elo 评测，成本比单个旗舰模型低 62%-93% — ivanhzhao · 2026-10-21
- DeepSeek V4.1 Flash 等多款开源模型上架 Hugging Face 推理端点 — SergioPaniego · 2026-10-21