自动扫描发现真漏洞，也带来大量误报
AI 自动化工具能快速、大批量地扫描开源代码，帮助发现可利用的安全缺陷。Rust 基金会表示，多个大型 Rust 项目已经收到并修复了通过这类工具发现的真实漏洞。
但同类工具也能批量生成看起来可信、实际无效的漏洞报告。判断缺陷是否存在，需要检查代码的执行条件和相关安全约束，不能只凭报告写得完整就接受结论。维护者因此还要从大量误报中筛选出需要处理的问题。
验证一份报告的真伪，需要维护者手动构建复现环境、尝试触发所描述的漏洞利用、分析执行轨迹。这些工作占用工程时间，也可能让需要处理的安全警报被大量未核实报告掩盖。
Rust 基金会形容：「噪声正在淹没信号。」
Alpha-Omega 资助六个月专职安全岗位
Rust 基金会于 6 月 16 日宣布，在 Alpha-Omega 项目的资助下聘请一位全职“驻场 AI 安全工程师”（AI Security Engineer in Residence），核验漏洞报告并协助维护者处理风险。
该职位使用的资金，是 Linux 基金会于 2026 年 3 月 17 日宣布的 1,250 万美元开源安全拨款的一部分。该拨款由 Anthropic、AWS、GitHub、Google、Google DeepMind、Microsoft 和 OpenAI 联合提供，由 Alpha-Omega 和 OpenSSF 管理，旨在为开源社区开发可持续的安全解决方案。
驻场工程师将综合运用人工分析与 AI 辅助方法，主动审查 Rust 语言本身及生态中广泛依赖的软件包（crate）。在报告转交维护者前，先区分可利用的真实问题、误报和信息不足的报告。
Cargo 团队成员 Jacob Finkelman 出任
被选中担任这一角色的是 Jacob Finkelman（网络 ID：Eh2406）。他自 2018 年起就是 Rust 项目 Cargo 团队的成员，同时维护着 pubgrub-rs——这是驱动现代包管理器 uv 的核心依赖解析器。对 crate 依赖关系的长期积累，有助于他分析相关的软件供应链风险。
Finkelman 在就任声明中写道：「我们下一个挑战，是由下一代 AI 驱动的开发者工具发现的漏洞浪潮。我期待与社区一起，通过这一角色，在为我们的人提供更好支持的同时，提升我们所生产软件的安全性和韧性。」
他也强调支持维护者的重要性：「我们取得的每一项成功，都只有在真实的人们不懈努力下才成为可能。当我们聚焦于那些人的需求，以及如何支持和赋能他们时，我们才能克服每一个障碍。」
核验可利用性后，协调修补和安全披露
Finkelman 将担任漏洞报告的明确联络人，包括接收 Anthropic 的 Project Glasswing 等计划传来的报告。他会结合人工分析与 AI 辅助验证，检查 Rust 核心语言和广泛使用的 crate 中是否存在可利用问题。
对于确认的紧急、高风险漏洞，工程师将协调安全研究人员、维护者与 Rust 项目的安全响应工作组，结合具体执行环境判断严重程度，协助开发补丁并安排负责任的披露。在适用情况下，安全公告会通过 RustSec 数据库发布。
这个职位首期为期六个月，是否延长取决于实践成果和可用资金。采用的方法、操作手册和提示词都将形成文档，方便后续继续使用。
PHP 和 Drupal 获得类似资助，计划共享经验
PHP 基金会和 Drupal 协会也获得了 Alpha-Omega 的同类拨款，用于支持漏洞报告分流和核验。参与组织计划共享工具、筛查方法和经验，减少重复开发。不同语言生态遇到的问题，也能帮助改进 AI 辅助筛查的流程。
Linux 内核维护者 Greg Kroah-Hartman 对此评价道：「仅靠拨款本身无法解决 AI 工具给开源安全团队带来的问题。OpenSSF 拥有活跃的资源，可以支持多个项目，帮助这些过度劳累的维护者处理他们目前收到的日益增多的 AI 生成安全报告。」
此前，Rust 基金会的 Security Initiative 自 2022 年启动以来，主要聚焦于 crates.io 注册表和项目内部基础设施，开展了威胁建模、工件签名和可信发布等工作，并开发了用于依赖关系映射的 Painter 和用于检测拼写仿冒的 Typomania 等工具。如今，核验机器生成的漏洞报告也成为维护工作的一部分。
增加漏洞发现能力，也要配套核验和修复人力
AI 降低了生成漏洞报告的成本，却没有同步增加维护者核验和修补的时间。一份报告可以很快写成，确认其可利用性仍要复现问题、分析影响并测试补丁。报告数量增加后，这些后续工作容易成为瓶颈。
Rust 基金会通过专职岗位，把筛查、严重性判断和修补协调交给熟悉生态的工程师，并让 AI 辅助这些工作。这种分工能否减轻维护者负担，将是首期六个月实践需要检验的结果。
Alpha-Omega 联合创始人 Michael Winser 在 Linux 基金会的拨款公告中表示：「Alpha-Omega 建立在这样一个理念之上：开源安全应该是正常且可实现的。通过资助审计并将安全专家直接嵌入生态系统，我们已经证明有针对性的投资是有效的。现在，我们正在规模化这种专业能力。」
这项安排把安全工作的重点延伸到报告产生之后：有人验证、有人协调修复，发现的漏洞才有机会及时转化为补丁。后续共享的方法和经验，也有望帮助其他开源社区建立类似的处理流程。
