Hacktron Review 开放开源版

Hacktron Review 是一款理解代码库上下文、降低误报的 AI Pull Request 安全评审工具，面向团队日常代码合入流程。

这篇内容为安全团队开展监测、验证和修复提供最新背景。

开源不等于安全：某企业使用的开源框架自 2012 年后未再更新，代码审计发现逾万条问题中近 80% 出自该框架，含 SQL 注入与存储型 XSS。建议对第三方代码做安全评估，及时修补或替换被弃维护的框架。

研究人员复现了 WordPress 中 CVE-2026-63030 与 CVE-2026-60137 背后的两个 Pull Request，检验当代代码评审流程能否拦截这类漏洞。

Trail of Bits 指出，1Password 这份有缺陷的基准测试歪曲了 AI 补丁质量：将错误修复的提示词和未测试的试验轮次都计入了 26% 干净修复率的头条数字，并发布了两个 agent skills 用于生成更高质量的修复。

XBOW 推出自主暴露管理（Autonomous Exposure Management）：以攻击者视角、无需源码与凭据，对企业整个外部应用资产并行发起测试，为每个发现附上可复现的利用证据。企业自有应用数量往往是渗透测试覆盖量的 3–10 倍，未被测试的应用并非低风险；AI 让软件产出与漏洞发现同时变便宜，证明可利用性成为把漏洞队列转化为处置决策的关键环节。