AI生成的假安全警告？围绕SQLite的“AI污水”争议

想象一下：作为一名安全人员，你的电脑突然弹出一个紧急警告：“你使用的系统存在极其危险的漏洞，请立即停止所有工作并修补！”你匆忙取消了会议，召集团队通宵达旦地开发修补程序。然而事后你却发现，那项警告本身竟然是AI凭空捏造出的根本不存在的威胁。

近期，围绕全球无数App和设备都在使用的数据库引擎“SQLite”，就确实发生了这样荒唐的事情。这不仅仅是一个花边新闻，更是一个沉痛的案例，揭示了我们目前在多大程度上盲目地接收来自AI的信息。

为什么这很重要？

安全漏洞就像火苗，如果不及时发现并处理，就可能导致严重的“火灾”（如数据泄露等）。因此，全球的安全专家通过名为“CVE（Common Vulnerabilities and Exposures，通用漏洞披露）”的体系来共享信息。

而此次事件的核心在于，作为信任基石的CVE列表本身被“AI污水（AI slop，指AI无差别生成的低质量内容）”污染了。特别是对于使用自动化安全系统的大型企业或机构而言，一个虚假警告就能让无数专业人员陷入不必要的忙乱中。结果，他们应对真正重要威胁的力量被白白浪费了。

通俗解释

为了理解“AI污水”，我们可以打个比方：当我们去餐厅并在网上评价说“这道菜太咸了！”时，是因为我们亲自品尝过。但如果让AI“随便写几条餐厅评论”，没有品尝过味道的AI就可以写出几千条像模像样的“这里太咸了，很难吃”之类的虚假评价。

本次SQLite事件也与之类似。安全数据库就像是发布经过专家亲自验证的“美食评价”的地方，而AI在没有进行实际漏洞分析的情况下，就将“这段代码有危险Bug”这样的“虚假评价”录入了官方系统。

实际上，这次出问题的CVE-2026-51302漏洞虽被声称具有“致命（Critical）”影响，但专家经核实后发现，该漏洞的证据完全无法复现，且代码内容与描述完全不符，纯属无稽之谈 [参考 11]。

现状如何？

据查，此次引发问题的漏洞源于某人新创建的GitHub仓库发布的内容 [参考 1]。问题在于，这些虚假信息竟然被官方录入了美国的国家漏洞数据库（NVD），甚至通过了负责安全的CISA（美国网络安全与基础设施安全局）的验证系统 [参考 1, 参考 4]。

安全研究机构JFrog强烈警告称，这种现象正在污染安全数据库，导致企业因应对不存在的威胁而浪费宝贵资源 [参考 2, 参考 9]。目前，安全社区已进入紧急状态，全力过滤这些由AI生成的虚假报告。

下一步怎么办？

预计未来，用于验证“AI生成信息”的另一种“AI验证系统”将会得到加强。但比起技术解决方案，更重要的是我们接收信息的态度。现在的时代，我们不能再无条件相信数据库或AI的输出。今后，安全专家在修改一行代码之前，必须具备一项必备技能——“数字辨别力”，即能够区分这到底是真实的威胁，还是AI的幻觉（Hallucination，指AI一本正经地胡说八道）。

AI的视角

此次事件表明，随着AI技术的发展，反讽的是，“人工核实与验证的价值”反而正在提升。如果AI能在一秒钟内制作出100份报告，那么我们就必须锻炼出能在瞬间洞察真伪的眼力。技术固然迅速，但真相依然蕴藏在人类的细致之中。

参考资料

1. SQLite Critical CVEs or LLM Slop? - JFrog Security Research (https://research.jfrog.com/post/sqlite-critical-cves-or-llm-slops/)
2. SQLite Critical CVEs or LLM Slop? (JFrog blog) [LWN.net] (https://lwn.net/Articles/1086936/)

3. Critical CVE issued for hallucinated SQLite vulnerability

   Hacker News (https://news.ycombinator.com/item?id=49154332)

4. AI slop pollutes the CVE pipeline with fake vulns - The Register (https://www.theregister.com/security/2026/08/03/ai-slop-pollutes-the-cve-pipeline-with-fake-vulns/5282462)
5. Sqlite CVEs and Security Vulnerabilities - OpenCVE (https://app.opencve.io/cve/?vendor=sqlite)
6. SQLite Vulnerability: CVE-2025-6965 - Broadcom support portal (https://knowledge.broadcom.com/external/article/405851/sqlite-vulnerability-cve20256965.html)
7. SQLite Critical CVEs or LLM Slop? (JFrog blog) - Linux News (https://www.linuxnews.net/articles/sqlite-critical-cves-or-llm-slop-jfrog-blog)

8. SQLite Critical CVEs or LLM Slop? (JFrog blog)

   Noise (https://noise.getoto.net/2026/08/03/sqlite-critical-cves-or-llm-slop-jfrog-blog/)

9. News - [LWN.net] SQLite Critical CVEs or LLM Slop? (JFrog …) (https://www.linux.org/threads/lwn-net-sqlite-critical-cves-or-llm-slop-jfrog-blog.69658/)

10. SQLite Critical CVEs or LLM Slop?

    JFrog - LinkedIn (https://www.linkedin.com/posts/jfrog-ltd_sqlite-critical-cves-or-llm-slop-activity-7490096151958945792-3lLX)

11. Vulnerabilities - SQLite (https://sqlite.org/cves.html)
12. News - [LWN.net] SQLite Critical CVEs or LLM Slop? (JFrog …) (https://www.linux.org/threads/lwn-net-sqlite-critical-cves-or-llm-slop-jfrog-blog.69658/latest)