

> 传统白帽黑客依赖漫长逆向工程的时代正在终结。研究人员利用Mythos工具链实现苹果系统内核级越权，标志着AI的推理能力已成功向下渗透至操作系统最隐秘的内存控制流中。

在网络安全领域，挖掘操作系统内核漏洞一直被视为黑客技艺的王冠明珠。由于内核空间涉及极度复杂的内存管理、进程调度和硬件抽象，传统漏洞挖掘高度依赖顶尖极客对C/C++底层架构的敏锐直觉与海量时间的堆叠。然而，安全研究人员利用基于Anthropic模型构建的Mythos工具成功挖掘macOS内核漏洞的事件，彻底颠覆了这一极客传统的法则。这不再是一次简单的辅助代码审查，而是大模型在极度复杂的指令集架构中实现了自动化逻辑推理与漏洞编排。

## 从模糊测试到智能漏洞编排

在过去的十年里，行业内寻找内核漏洞的主流方式是模糊测试（Fuzzing），即通过向系统输入海量随机或半随机的数据，祈祷能够触发一次内存崩溃。这种方式本质上是一种算力暴力破解，缺乏对系统运行逻辑的上下文理解，且产出的崩溃日志需要人工耗费巨大精力去分析是否具有可利用性。

![32.png](https://static.downly.cn/images/27e121837f2fd020d194e75797472b04.png) <center>图源备注 图片由AI生成</center>

Mythos工具的介入改变了游戏规则。它不再进行无意义的盲目试探，而是将大模型强大的自然语言理解能力降维应用到了汇编指令与反编译伪代码的语义分析上。
核心突破点　上下文感知分析。
当研究人员将macOS的XNU内核开源组件与部分逆向分析结果抛给Mythos时，大模型能够在极短的时间内理清复杂的结构体引用关系，识别出那些人类极其容易忽略的条件竞争（Race Condition）或者释放后重用（Use-After-Free）的细微内存状态异常。

## Mythos工具链的逻辑解构

要理解这次越权漏洞构建的含金量，必须拆解Mythos在其中扮演的角色。内核漏洞的利用往往不是单一缺陷的直接引爆，而是一连串微小内存操作的精巧组合。攻击者需要先找到一个信息泄露漏洞来绕过地址空间布局随机化（ASLR），再利用另一个内存破坏漏洞来篡改关键函数指针或内核凭证结构体，最终实现提权。

![33.png](https://static.downly.cn/images/0550b9fefd83155d685f937ae100892d.png) <center>图源备注 图片由AI生成</center>

在这个过程中，Mythos展现出了令人胆寒的上下文连贯记忆与代码生成能力。它不仅能够指出漏洞的触发条件，还能根据macOS特有的内存分配器（zalloc）机制，自动计算堆喷射（Heap Spraying）的偏移量，生成具有极高稳定性的漏洞利用原型代码（PoC）。过去需要资深安全研究员熬夜数周计算的内存布局偏移，现在被压缩成了几轮结构化的Prompt交互。

## 自动化渗透带来的生态涟漪效应

这一突破在底层架构层面释放了巨大的涟漪效应。它证明了当前最先进的大语言模型不仅掌握了人类语言的语法，更内化了图灵机的运行逻辑和操作系统的底层防线机制。当AI能够像理解小说情节一样理解内存状态的流转时，传统的静态代码扫描和特征库杀毒软件将面临严峻的考验。

对于下游开发者和操作系统厂商而言，这无疑敲响了刺耳的警钟。未来的网络攻防，将彻底演变为模型算力与防御架构的直接对抗。苹果、微软等巨头将被迫加速引入同等量级的AI系统进入其内核编译与测试管线。在机器智能接管了底层漏洞挖掘的挖掘与武器化过程后，人类安全工程师的角色将加速向规则制定者和架构防御者转移。

Anthropic辅助构建macOS内核漏洞 AI介入底层攻防的架构解析



> 导语：伯克利发布ExploitGym基准测试，无情揭示了AI智能体在网络安全领域的真实能力边界。抛开厂商炒作的公关话术，全自动AI黑客的落地仍面临巨大的工程障碍与合规黑洞。

## 实验室里的数字兵器与真实的落地泥潭

当前的网络安全市场正被一种狂热的焦虑所裹挟：大大小小的初创公司都在兜售一种末日论调，声称基于大模型的AI智能体只需一条文本指令，就能如入无人之境般攻破企业内网。然而，加州大学伯克利分校最新发布的ExploitGym基准测试，像一盆冷水浇醒了处于公关幻觉中的行业。

数据不会撒谎。尽管AI在静态代码分析和CTF（夺旗赛）的沙盒环境中表现出了惊人的理解力，但当漏洞转化（Exploit）被放置到真实的、充满噪音的网络环境中时，智能体的表现可谓惨不忍睹。真实世界的攻击需要多步动态规划、对蜜罐环境的敏锐嗅觉以及对未知防御策略的即时绕过。目前的AI智能体在面对极度不确定的网络拓扑时，极易陷入“幻觉死循环”——它们不仅无法精准利用漏洞，甚至会生成带有严重逻辑错误的攻击脚本，直接导致目标系统崩溃而非被潜入。这种“莽夫式”的行动逻辑，在真实的红蓝对抗中毫无实战价值。

![32.png](https://static.downly.cn/images/381c8da8091a6004b1a9e9babfc98c72.png) <center>图源备注 图片由AI生成</center>

## 被刻意掩盖的合规黑洞与伦理代价

更令人警惕的是，资本在吹捧“自动化红队”概念时，刻意回避了攻击型AI在现实世界中面临的巨型合规黑洞。与生成一段代码或一张图片不同，网络渗透是一个具有高度法律敏感性的行为边界测试。

关键争议　如果一个被授权进行内部渗透测试的AI智能体，因为大模型的不可解释性产生了执行偏差，意外瘫痪了医院的维生系统或是金融交易网关，谁该为此承担刑事责任？是编写系统指令的工程师，还是提供底层API的大模型厂商？在现有法律框架下，这种权责界定是一片完全的空白。当企业引入所谓的“全自动安全智能体”时，他们买入的不仅是安全防护的护盾，更是一颗随时可能引爆自身法务灾难的定时炸弹。

![33.png](https://static.downly.cn/images/3351e6073970f2b65277efdd2bcbe18c.png) <center>图源备注 图片由AI生成</center>

## 矛与盾的真实较量 拒绝对AI能力的过度祛魅

必须清醒地认识到，AI并非万能钥匙。ExploitGym的出现，其核心价值不是为了证明AI毫无用处，而是为了建立一个科学的标尺，刺破安全厂商为了卖货而制造的恐慌泡沫。

在未来五年内，AI智能体不会成为完全自主的“赛博终结者”，其务实的定位依然是人类白帽黑客的“高级副驾驶”。它擅长处理枯燥的资产盘点和海量日志的初步筛选，但发动致命一击的扳机，必须、也只能由人类的直觉和经验来扣动。行业需要的不是盲目崇拜数字兵器，而是重建对技术边界的敬畏。

刺破AI黑客神话 漏洞转化为真实攻击的隐性壁垒



> 让最懂代码的AI去审查和防御代码，Anthropic这一内部安全实践证明了智能体在网络安全领域的降维打击能力，传统的静态规则引擎正被动态的意图识别彻底重塑。

## 告别静态规则 智能体接管防御前线

在漫长的网络安全发展史中，威胁检测系统（SOC）一直高度依赖于人工编写的正则表达式与静态特征库。这种防御体系在面对利用大模型自动生成的变异恶意代码时，显得如同冷兵器面对热武器一般无力。Anthropic安全团队利用其最新发布的Claude Code构建威胁检测平台，实质上是在底层架构上完成了一次从“特征匹配”到“语义理解”的基因突变。

技术突破点　Claude Code不再是单纯的文本补全模型，而是具备文件系统读写权限、终端执行能力和长文本逻辑推理的Agent（智能体）。当海量的安全日志、异常网络请求和混淆代码涌入系统时，Claude Code能够利用其超长上下文窗口，将分散的报警信息拼凑成完整的攻击链路图。它不再仅仅询问“这段代码是否包含特定危险函数”，而是通过逆向推理推断“这段代码试图在当前系统中达成什么目的”。

![22.png](https://static.downly.cn/images/28102c1f3b9a6ca3501f46afbbf76362.png)
<center>图源备注 图片由AI生成</center>

## 算力换安全 极客视角的架构跃迁

从极客视角审视，Anthropic的这套系统完美展现了“用算力换取安全纵深”的未来理念。传统的安全分析师每天需要处理成千上万条误报，这被称为“警报疲劳”。而Claude Code的引入，相当于为安全团队配备了一支永远不知疲倦、且精通全球所有编程语言的L3级别资深工程师团队。

架构亮点　该平台将威胁检测分为初筛与深挖双层工作流。第一层通过轻量级模型快速过滤海量常规日志；第二层则调用全血版的Claude大模型对疑似高危行为进行沙箱级推演。更为恐怖的是，Claude Code具备自主编写修复脚本的能力。一旦确认漏洞，它能够在几秒钟内生成带有完整注释的防御补丁，并通过Pull Request提交给人类审核。这种闭环速度，让攻击者原本以天为单位的渗透窗口期，被残酷地压缩到了分钟级。

![23.png](https://static.downly.cn/images/170e4384a5326204977d29e0745bf199.png)
<center>图源备注 图片由AI生成</center>

## 矛与盾的螺旋升级

Anthropic的这次架构革新，不仅是一次成功的内部狗粮测试（Dogfooding），更是向全球安全界发出的一份前瞻性宣言。当AI具备了理解复杂系统架构和漏洞利用逻辑的能力，攻防双方的战场将从代码层面上浮至算力与模型的正面对决。

未来的黑客攻击必将全面AI化，而唯一的应对之策，就是用更强大的魔法打败魔法。Claude Code构建的威胁检测平台只是一个起点，它预示着全自动、自愈合的软件架构时代正在加速到来，而那些仍抱守传统特征库的安全产品，将被时代的数据洪流无情吞没。

Anthropic用Claude Code重塑威胁检测 开启自动化防御新范式

> 近日，一位来自 Replit 团队（知名AI 编程公司，Lovable友商）的员工报告，Lovable平台存在严重的行级安全(`Row Level Security, RLS`)策略实现缺陷，导致未经授权的用户可以访问敏感数据并注入恶意内容。此外，平台的默认公开项目设置和remix功能进一步加剧了数据泄露风险。本文将详细阐述了漏洞的技术细节、影响范围、披露过程、各方回应以及安全建议，旨在提高开发者和用户对此类平台安全风险的认识。

Lovable是一家瑞典初创企业，其产品被定位为"软件体系的最后一块拼图"，通过AI技术极大降低开发门槛，使客户无需技术培训即可使用自然语言提示词创建网站及应用程序。作为"氛围编码"（vibe coding）领域的代表，Lovable在欧洲市场快速增长，被称为"欧洲版Cursor"。

## 1. 漏洞概述

2025年3月20日，Replit公司员工Matt Palmer及其同事发现Lovable平台存在严重安全漏洞（CVE-2025-48757），该漏洞涉及行级安全(RLS)策略实现不当，允许未授权用户访问敏感数据并注入恶意内容。此外，Lovable平台非Pro用户创建的项目默认为公开状态，结合其remix功能，进一步增加了数据泄露风险。

![](https://static.downly.cn/images/image-20250603091520914-1748913389378-1.png)

**CVE-2025-48757详情：**

![](https://static.downly.cn/images/image-20250603090338879.png)

## 2. CVE-2025-48757漏洞技术分析

### 2.1 漏洞本质

CVE-2025-48757漏洞的核心是Lovable平台在实现行级安全(RLS)策略时存在严重缺陷：

1.RLS配置缺失或错误：Lovable平台创建的应用程序常缺乏安全的RLS配置，导致数据库表缺少必要的访问控制。

2.客户端与后端安全策略不一致：客户端逻辑与后端权限控制(RLS)策略存在错位，前端实现的访问控制在后端没有得到有效执行。

3.身份验证绕过：攻击者可通过移除授权头部，将请求安全上下文从已认证用户变为未认证用户，从而绕过访问控制。

### 2.2 漏洞利用方式

在Lovable，只有Pro用户才能创建private项目，任何人都可以查看并使用remix的方式克隆他人的项目，这是一个非常重要的前提。

![](https://static.downly.cn/images/image-20250603084746944.png)

#### 2.2.1 数据访问漏洞

攻击者可以通过修改查询参数访问项目"用户"表中的所有数据。例如，在Linkable网站（一个由Lovable构建的将LinkedIn资料转化为个人网站的应用）中，Palmer能够查看约500名用户的电子邮件地址。

#### 2.2.2 数据修改漏洞

攻击者可以通过发送带有精心构造的有效载荷的POST请求插入新记录。在Linkable网站的案例中，研究人员成功通过设置"payment_status": "paid"绕过了Stripe支付集成，实现了未授权的数据写入。

### 2.3 技术架构问题

Lovable 为用户提供了一种简单的方法来连接到Supabase 的数据库服务，但存在配置不当问题。

![](https://static.downly.cn/images/image-20250603085004055.png)

Lovable平台的安全漏洞与其技术架构密切相关：

1.客户端驱动架构：Lovable应用主要以客户端驱动为主，将大量逻辑放在前端执行。

2.外部服务依赖：依赖外部服务(如Supabase)完成身份验证和数据存储等后端操作，增加了配置复杂性。

3.安全责任转移：将安全责任转移给应用程序的开发者，而非平台本身，但缺乏足够的安全指导和默认保护。

### 2.4 "安全扫描"功能的局限性

Lovable在4月24日推出的"安全扫描"功能存在严重局限：

1.该功能仅检查Supabase数据库是否启用了访问控制，而不检查控制选项是否正确配置。

2.提供虚假的安全感，无法检测到暴露数据的错误配置。

3.未解决底层RLS架构缺陷，即使在扫描后，应用仍可能存在漏洞。

## 3. 漏洞影响范围

### 3.1 受影响应用数量

在扫描的1,645个Lovable创建的应用中，约170个(10.3%)存在漏洞，涉及303个端点存在不充分的RLS设置。这表明RLS配置错误是一个系统性问题，而非孤立事件。

### 3.2 暴露数据类型

通过漏洞可能泄露的敏感数据包括：

•用户个人信息(姓名、电子邮件地址)

•财务信息

•API密钥(包括Google Maps、Gemini API、eBay等服务)

•个人债务金额

•家庭住址

•"擦边提示词"

### 3.3 潜在攻击场景

1.数据窃取：攻击者可获取用户个人信息和凭证，用于身份盗窃或定向攻击。

2.API滥用：获取的API密钥可被用于未授权访问第三方服务，可能导致财务损失。

3.数据篡改：攻击者可修改数据库内容，包括支付状态、用户权限等。

4.服务中断：通过删除或破坏数据，可能导致服务不可用。

## 4. 漏洞披露过程

### 4.1 时间线

1.2025年3月20日：初次发现Linkable网站(Lovable构建)的漏洞。

2.2025年3月21日：识别出更广泛的RLS配置错误问题，并通过电子邮件通知Lovable。

3.2025年3月24日：Lovable确认收到邮件，但未回复。

4.2025年4月14日：

•Palantir工程师Danial Asaria独立发现并公开发推文谈论同一漏洞。

•Palmer再次通知Lovable，引用公开利用情况，并启动45天披露窗口期。

5.2025年4月24日：Lovable发布"Lovable 2.0"，增加"安全扫描"功能，但未解决底层RLS架构缺陷。

6.2025年5月24日：Palmer对Linkable网站进行再次评估，发现仍存在数据操纵和注入等严重安全问题。

7.2025年5月29日：由于Lovable未采取有效修复措施或通知用户，Palmer发布CVE编号。

### 4.2 Lovable的回应与措施

1.初次回应：否认存在漏洞，随后删除相关推文和网站。

2.临时措施：Linkable重新上线并开始收取2美元费用。

3.安全功能：推出"安全扫描"功能，但仅检查Supabase数据库是否启用了访问控制，未检查配置是否正确。

4.公开声明(5月30日)："与几个月前相比，Lovable现在在构建安全应用方面有了显著提升，并且还在快速改进。话虽如此，我们的安全水平尚未达到预期，我们将致力于持续提升所有Lovable用户的安全状况。"

## 5. 默认公开项目与Remix功能的安全风险

### 5.1 默认公开项目机制

根据Lovable官方隐私政策和用户补充信息，非Pro用户创建的项目默认为公开状态：

"如果您的项目设置为'公开'，那么提示和代码可以被其他用户看到。您的公开项目也可以被remix并用作其他项目的起点。私有项目不可被remix，其代码和提示对其他用户不可见。" —— Lovable隐私政策，"用户内容可见性"部分

这一默认设置意味着：

1.非Pro用户的项目代码、提示词和配置默认对所有人可见。

2.用户需要主动将项目设置为私有，但这通常需要升级到付费计划。

3.许多用户可能不知道自己的项目是公开的，尤其是缺乏技术背景的新手。

### 5.2 Remix功能及其风险

Lovable的Remix功能允许用户克隆并修改其他公开项目：

1.配置复制：Remix会复制原项目的代码、结构和配置，包括可能存在的不安全设置。

2.凭证泄露：如果原项目包含硬编码的API密钥、数据库连接字符串或其他凭证，这些也会被复制到新项目中。

3.权限继承：新项目可能继承原项目的不安全权限设置，导致相同的漏洞在多个项目中传播。

### 5.3 组合风险分析

默认公开项目与Remix功能相结合，形成了严重的安全风险链：

1.漏洞传播：一个存在RLS配置错误的公开项目可能被多次remix，导致漏洞在生态系统中快速传播。

2.凭证暴露链：一个包含API密钥的公开项目被remix后，这些凭证可能被更多人看到并滥用。

3.安全意识差距：缺乏安全知识的用户可能不了解公开项目和remix带来的风险，无意中暴露敏感信息。

4.难以追踪：当漏洞通过remix传播时，很难追踪源头并通知所有受影响用户。

## 6. 安全专家观点

### 6.1 SentinelOne首席信息安全官Alex Stamos

•Web应用程序最佳实践要求完全避免让用户直接访问数据库。

•应用程序应当确定用户可以访问哪些信息，再据此执行数据交付。

•允许用户直接接入数据库存在巨大风险，即使有正确处理方法，成功率也极低。

### 6.2 Replit公司CEO Amjad Masad

•不能期望新手开发者理解并掌握底层安全配置。

•如果一款工具号称能轻松部署应用程序，就必须确保这些应用程序的安全性。

•氛围编码工具应该提供安全默认设置，而不是将安全责任完全转嫁给用户。

## 7. 安全建议

### 7.1 对Lovable平台的建议

1.实施安全默认设置：所有项目默认应为私有，只有在用户明确选择后才设为公开。

2.改进RLS实现：提供预配置的安全模板和自动化工具，确保正确实施RLS策略。

3.增强安全扫描：扩展当前的安全扫描功能，不仅检查RLS是否启用，还应验证其配置是否正确。

4.用户通知机制：建立机制通知用户潜在的安全问题，特别是当他们的项目包含敏感数据时。

5.沙箱环境：为氛围编码应用提供沙箱环境，限制可能造成的损害。

### 7.2 对Lovable用户的建议

1.项目可见性审查：检查所有项目的可见性设置，确保包含敏感信息的项目设为私有。

2.避免存储敏感数据：不要在Lovable项目中存储API密钥、凭证或个人敏感信息。

3.定期安全审查：定期检查项目的安全设置，特别是在更新后。

4.使用环境变量：对于需要API密钥的项目，使用环境变量而非硬编码。

5.限制数据访问：实施最小权限原则，限制应用对数据的访问范围。

### 7.3 对氛围编码行业的建议

1.建立安全标准：制定氛围编码平台的安全最佳实践和标准。

2.责任明确化：明确平台提供商和用户在安全方面的责任边界。

3.安全教育：提供针对非技术用户的安全意识培训和资源。

4.防御深度：实施多层次安全控制，不仅依赖单一防护措施。

5.透明度：平台应公开其安全措施和限制，帮助用户做出明智决策。

## 8. 结论

Lovable平台的CVE-2025-48757漏洞以及默认公开项目与remix功能带来的额外风险，凸显了氛围编码工具在安全实践方面的重大挑战。虽然这些工具极大地降低了软件开发的门槛，但同时也带来了新的安全风险，特别是当用户缺乏安全知识时。

平台提供商需要认识到，随着开发工具的民主化，安全责任不应完全转嫁给用户。相反，应该提供安全默认设置、自动化安全检查和清晰的风险通知。同时，用户也应提高安全意识，了解这些平台的限制和潜在风险。

随着氛围编码和AI辅助开发工具的持续发展，行业需要建立新的安全范式，在保持易用性的同时确保应用安全。只有通过平台提供商、用户和安全社区的共同努力，才能实现这一平衡。

## 参考资料

1.Matt Palmer. (2025). Statement on CVE-2025-48757. https://mattpalmer.io/posts/statement-on-CVE-2025-48757/

2.Semafor. (2025). The hottest new vibe coding startup may be a sitting duck for hackers. https://www.semafor.com/article/05/29/2025/the-hottest-new-vibe-coding-startup-lovable-is-a-sitting-duck-for-hackers

4.Matt Palmer. (2025). Twitter/X Post on Lovable Vulnerability. https://x.com/mattppal/status/1928106325613105370

5.Lovable. (2024). Privacy Policy. https://lovable.dev/privacy

6.Bay Tech Consulting. (2025). An Analysis of Loveable AI: Features, Pricing, Value, and Market Position 2025. https://www.baytechconsulting.com/blog/an-analysis-of-loveable-ai-features-pricing-value-and-market-position-2025





搜索结果: 漏洞利用