Trail of Bits 发布 AI 插件实现自动化补丁与回归检测

Trail of Bits 联合 OpenAI 发布 patching-bugs 和 regression-hunt 两个开源插件，旨在将 AI Agent 引入开源项目的补丁开发与回归检查流程中。这两个工具基于“Patch the Planet”项目中数百个安全补丁的经验构建，通过结构化工作流、证据链验证和强制实时 PoC（Proof-of-Concept）运行，解决 AI 生成补丁时常见的回归缺陷问题。 在初步评估中，regression-hunt 插件在处理已知回归案例时，相比基线 Codex Agent 减少了 25% 的误报发现（95% 置信区间为 14% 至 38%）。其核心机制包括：定义严格的回归判定标准（排除不完全修复或潜在 Bug）、集成威胁模型作为全局上下文、以及要求每个结论必须通过真实部署环境的 PoC 验证。此外，patching-bugs 插件提炼了数千次工程师 Codex 会话的最佳实践，采用三臂证明（Three-arm proof）和不变量引导修复策略，确保补丁不仅修复当前 Bug，还具备泛化能力并经过回归检查。 事实层面，Trail of Bits 审查了 130 多个合并 PR 中的 21 个确认回归（16 个功能、1 个性能、4 个构建/测试），无一破坏安全防护。推断层面，该工具链试图通过标准化输入输出模式、固定 Schema 和可复现的执行路径，提升 Agent 在复杂工程场景下的可控性。猜测层面，未来版本可能根据项目特定的 THREAT_MODEL.md 和 PATCHING_GUIDELINES.md 文件进行配置优化，但具体效果仍需更多真实世界反馈验证。