LLM-галлюцинации добрались до CVE: 54 из 55 уведомлений оказались подделкой

📋 30 июля 2026 года JFrog Security Research опубликовали разбор серии CVE-уведомлений об уязвимостях в SQLite.
При этом шесть уведомлений, получивших в NVD критические рейтинги вплоть до 9.8, оказались полностью сфабрикованными: несуществующие функции, несуществующие строки кода и неработающие PoC, сгенерированные большой языковой моделью.

На GitHub-аккаунте programmervuln/cveadvisory- обнаружили 55 отчётов в которых GptZero определяет сгенерированный текст. В итоге 54 из 55 сгенерированы LLM.
NVD присвоил им критический статус, а CISA ADP подтвердила, Red Hat по одной из них сначала выставил 10.0 Critical и только позже снизил до 7.6 High.

💡 JFrog решили проверить все ЕИ, по старинке, методично клонировали официальный репозиторий, собрали целевые версии в изолированных Docker-контейнерах и прогнали PoC под AddressSanitizer.

Оказалось, что, например CVE-2026-51302 ссылается на функцию exprComputeOperands(), которой не существовало в версии 3.41.0.

CVE-2026-51296 указывает строки 3555 и 3575 файла json.c, но в этой версии файл содержит всего 2706 строк.

CVE-2026-51303 утверждает об исправлении в 3.51.3, однако diff между версиями не показывает изменений в коде.

Ни один PoC в итоге не показал, что CVE содержат примеры реальных угроз, вызывающих падение SQLite.

💼 Причина в системном сбое конвейера обработки уязвимостей.
Форма MITRE не требует подтверждения личности: отправить CVE может кто угодно.
С февраля 2024 года NVD приостановил глубокий ручной анализ из-за лавинообразного роста заявок.
CISA и другие ADP попытались закрыть брешь, но без обязательного воспроизведения ошибки правдоподобный текст все-равно проходит фильтры.
В средах, где критические уязвимости автоматически создают тикеты, каждое такое CVE порождает цикл: поиск несуществующей функции, попытка воспроизведения, эскалация. AI-агент, подключённый к процессу, может сгенерировать патч для кода, которого нет.

Нейрослоп перестал быть только текстовой проблемой, а теперь еще и стал проблемой целостности критической инфраструктуры.

Астрологи объявили повышенный спрос на естественный интеллект.
По-крайней мере до тех пор, пока не будут настроены нормальные циклы самопроверки через PoC песочницы.

#CVE #LLM #cybersecurity #Fail
------
@tsingular

Когда Технологическая Сингулярность наступит, вам никто не скажет, но будут знаки.

#Сингулярность #CVE #cybersecurity
------
@tsingular