实验在测什么
这是个设计巧妙的安全实验。源码审计 AI 已不新鲜，但二进制分析（直接看编译后的机器码，没有可读源码）难度高得多,人类专家都需要专门训练和工具。Quesma 把已知的后门藏进一个 40MB 的二进制文件，再让 AI 去大海捞针，本质是在测量 AI 在这个高难度、高价值领域的真实能力。能不能找到、找得多准、需要多少引导，都是行业关心的硬指标。
二进制审计的攻防意义
这件事的分量在于它触及供应链安全的核心痛点:现实中我们运行着海量没有源码、只有二进制的软件,商业组件、固件、被混淆的依赖。这些恰恰是后门和恶意代码最好的藏身之处，而人工二进制审计昂贵到只有极少数场景用得起。如果 AI 能把二进制审计的成本打下来，防守方将获得一件强力武器,大规模筛查那些过去无力检视的二进制。但攻防是同一枚硬币,同样的能力也能帮攻击者更快找到可利用的漏洞。无论结果如何，这类实验都在为一个正在到来的现实做准备,AI 进入二进制层面的安全博弈，会重新定义供应链安全的成本和边界。值得每个关注安全的人留意。
via: Hacker News