用历史 CVE 做对抗测试：让 agent 自己定规格再自我攻击

jd_pressman · x · 2026-10-24

jdpressman 分享一套给 AI agent 写软件规格（spec）的做法：先让 agent 自己选定规格，然后让它遍历所有历史 CVE，逐一检验该规格在原理上能否阻止漏洞，最后做一轮对抗性审查——进入「破坏者模式」攻击软件与规格本身，找出薄弱点。

回复者 dlbydq 补充：spec 的长尾确实难写，但人们低估了哪怕最粗糙的规格也能带来的收益。jdpressman 认为这是 90/10 的事：任何形式的对抗性审查大概就能拿到大部分收益，而「亲自查看」的方式是让 agent 带着导览走读代码库，并更直接地控制其注意力。