OpenSSH 10.5 发布，现已支持 AI 辅助

事件核心：发生了什么

OpenSSH 10.5 于近日发布，新增了 -Z 参数，让用户控制客户端尝试公钥的顺序。在 Hacker News 的讨论中，有评论者认为该参数实用性有限，因为多数 sshd 实例在 5 次认证失败后就会断开，用户通常已经清楚需要优先尝试哪些密钥。

更值得关注的是 OpenSSH 团队随发布同步更新的安全报告政策。团队表示，近期收到大量来自 AI 模型发现或 AI 辅助生成的安全漏洞报告，其中许多在现实威胁模型下并不构成实际安全影响，但团队明确欢迎这类报告，尤其欢迎那些结合了人工分析、测试用例，并附带修复建议的提交。OpenBSD 项目负责人 Theo de Raadt 此前在邮件列表中则指出，LLM 输出涉及版权问题，无法直接进入 OpenBSD 代码树，但可以接受将 LLM 用作代码审查工具。讨论中也有开发者纠正：AddressSanitizer 是编译期插桩工具，并非 AI，两者不应混淆。

为什么重要

OpenSSH 是互联网基础设施中最关键的安全组件之一，长期以保守、谨慎著称。此次官方明确欢迎 AI 辅助漏洞报告，说明 AI 在安全审计中的应用已从“市场宣传”进入“关键基础设施维护”的实操层面。对行业而言，这意味着至少两个信号：其一，AI 生成的安全发现需要人类专家兜底验证，纯 AI 批量报告的价值有限；其二，AI 工具和 AI 生成的代码被区分对待——用 AI 找问题是受鼓励的，但把 AI 生成的代码直接合入 OpenBSD 树仍面临版权和审查障碍。这种“开前门、堵后门”的态度，可能成为其他基础设施项目的参考模板。

对用户/开发者/创作者的影响

普通用户不会直接感受到 -Z 参数变化，但 AI 参与漏洞挖掘若能提升 OpenSSH 的发现和修复效率，最终受益的是所有依赖 SSH 的服务器和开发者。对安全研究人员和开发者，实际影响更直接：如果你使用 AI 辅助做安全审计并发现了 OpenSSH 的漏洞，提交报告时附上人工分析、可复现用例和建议补丁，被采纳的概率会明显高于直接贴一段 AI 生成的描述。同时需要注意，即便漏洞被确认，AI 直接生成的补丁代码也可能因版权归属问题无法被上游接受，合理做法是用 AI 辅助定位问题、由人类重写补丁。对于把 ASAN 等自动化工具误称为“AI”的讨论，也提醒整个行业：工具链自动化和大模型推理是两件事，评估安全能力时应分开衡量。

AI 工具推荐

想把多个 AI 模型放在一个入口？

GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。

了解 GamsGo AI

推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。

值得关注的后续

目前公开信息显示，OpenSSH 团队尚未公布针对 AI 报告的具体提交流程或审核标准，后续可以观察三点：一是团队是否会发布更明确的 AI 报告提交指南；二是在 Theo de Raadt 提出版权质疑后，其他开源项目是否会跟进调整 LLM 生成代码的接受策略；三是 OpenSSH 这一态度能否吸引更多安全研究者使用 AI 审计其他基础设施软件，例如 Apache、Electron 等同样被反复提及的关键项目。不同项目对 AI 参与安全审计的开放程度，将直接影响 AI 在网络安全领域落地的真实节奏。

来源：hackernews