**AI 能找出安全漏洞，却分不清它是否已被修复**

_AI Models Are Great at Finding Security Bugs. Can They Tell When They're Fixed?_

> 研究团队推出开源安全基准 ART（Attacker-Reachable Sink Triage），测试了七款主流大模型：它们擅长通过 eval()、system()、原始 SQL 等危险 token 发现漏洞，却难以识别代码是否已经打补丁。测试使用“代码孪生”对——两份结构、变量名几乎相同、仅相差一处安全控制（如参数化查询、输入强制转换、鉴权检查）的代码片段，结果显示模型常把已修复版本误报为漏洞。这种基于表面模式匹配而非数据流分析的缺陷，会在实际开发中造成大量误报与安全告警疲劳，削弱 AI 代码审计的实用价值。

**来源信息**
- **来源**：Hacker News：AI 热帖
- **分类**：论文
- **发布时间**：2026-09-25 00:17（北京时间）
- **原文**：[打开原文](https://medium.com/meetcyber/ai-models-are-great-at-finding-security-bugs-but-can-they-tell-when-theyre-fixed-20052d828f2a)