最近我做了一个项目，叫 AutoCVE。它的目标很直接：

把 CVE 挖掘这件事，从“筛项目、导仓库、跑工具、审源码、验漏洞、写报告、提交 CVE”这一整套流程，尽可能自动化。

安全研究人员只需设置目标 CVE 数量，系统便会持续筛选项目并执行审计，直至挖掘出指定数量、具备完整利用链且符合 CVE 申报条件的高质量漏洞。

在为期一周的测试中，AutoCVE 共发现并拿到了30个 CVE 编号，覆盖 14 个开源项目，最高 CVSS 漏洞评分达 9.9，全程无人工参与或核验。

为什么做 AutoCVE？

经历过“古法挖洞”时代的老白帽应该都清楚，传统 CVE 挖掘流程极其繁琐且耗时。

筛选适合审计的开源项目，配置并运行 SAST 工具，完成第一轮漏洞扫描并过滤大量误报。
        ↓
从 Sink 点追溯 Source 点，分析数据流、调用链和过滤逻辑，并编写 PoC 验证漏洞。
        ↓
整理英文漏洞报告、CVE 描述、影响范围、修复建议、PoC 和复现过程。

随着模型能力持续提升，AI 对代码的理解也越来越深入，“古法挖洞”正逐渐沦为非遗。越来越多的安全研究人员开始使用 AI 挖掘漏洞，各类智能审计项目与安全 Skill 也层出不穷。

然而，工具越多，用户的筛选和验证成本反而越高。几乎每个项目都宣称能够挖掘 CVE，但实际效果仍需要用户亲自寻找项目并反复测试：有些工具在靶场中表现不错，面对真实项目时却效果有限；连续审计多个项目没有发现漏洞时，也很难判断究竟是工具能力不足，还是项目筛选不当；即使发现了大量问题，其中真正符合 CVE 申报条件的高价值漏洞也可能寥寥无几。

目前，仍缺少一个专门针对 CVE 挖掘场景进行优化，并真正打通落地“最后一公里”的项目。

因此，我开发了 AutoCVE，将这一系列流程全部交给 Agent 自动化完成：

01 自动筛选项目 → 02 自动导入仓库 → 03 自动创建任务 →04 多 Agent 协同审计 → 05 自动验证漏洞 → 06 自动生成报告

用户只需输入期望挖掘的 CVE 数量，等待任务执行完成，最后复制生成的报告内容并提交即可。

核心能力

AutoCVE 不是一个简单的扫描器，而是一个面向 CVE 挖掘场景设计的 Multi-Agent 审计平台。

一键完成 CVE 挖掘

实现从项目筛选、仓库导入、审计任务创建、Agent 漏洞挖掘到 CVE 申报报告生成的全流程自动化。用户仅需复制报告内容并提交，即可完成后续 CVE 申请。

Multi-Agent 协同审计

通过 Orchestrator 统一调度 Recon、Scan、Triage、Finding 和 Verification 等 Agent，协同完成信息收集、工具扫描、误报过滤、漏洞深挖与动态验证。工作流如下：
 

• Recon：识别项目语言、框架、入口文件和优先审计路径
• Scan：调用 Semgrep、Bandit 等工具做规则扫描
• Triage：过滤误报，补充证据
• Finding：直接阅读源码，构造攻击链，挖掘高价值漏洞
• Verification：通过沙箱和 PoC 动态验证漏洞

其中，Finding Agent 是 AutoCVE 的核心审计能力，专为 CVE 挖掘场景设计。它可直接分析项目源码，并结合 ReAct Loop、专项工具调用、Nudge 纠偏及 FinalizeFinding 结构化终止机制，最终产出符合 CVE 申报条件的高价值漏洞。

Tips：Finding Agent核心组件及架构设计详情参考ARCHITECTURE_DESIGN.md第七节

三种审计模式

AutoCVE 当前支持三种审计模式，可根据不同的审计目标选择合适的审计模式：

编辑

交互式审计与全过程追踪

• 支持用户交互：将完整审计过程作为会话上下文，用户可围绕审计结果继续追问，让 Agent 补充证据、解释攻击链、完善复现步骤或扩展漏洞分析。

可以展开查看工具调用详情

编辑

可以输入 $ 显示调用Skill（如果未指定模型会根据任务自动匹配适合的Skill）

编辑

• 可视化审计追踪：集中展示活动日志、Agent Tree、工具调用、阶段进度、初步报告和审计会话，方便复盘每次审计的执行路径与关键过程。

智能化漏洞管理

审计发现的漏洞由 Agent 调用工具自动提交，经过去重后以结构化形式入库，并在漏洞管理模块中统一维护。

AutoCVE 的漏洞报告会由 Agent 调用 FinalizeVulnerabilityReports 自动结构化生成，包含Summary、Details、PoC、Impact、Remediation、Disclosure Notes、Affected products、CVSS、CWE、Suggested CVE description 等字段，可直接复制用于从Github Advisory提交漏洞报告，如下所示

专属 Skills 配置

支持根据实际需求为不同 Agent 配置专属 Skills，灵活扩展各 Agent 的能力边界。

CVE成果展示

完整漏洞报告：GitHub - larlarua/vulnerability-reports · GitHub

AutoCVE相关文档入口

功能使用手册：USER_GUIDE.md

架构设计文档：ARCHITECTURE_DESIGN.md

功能演示demo：DEMO.gif

项目链接

GitHub 项目地址：

bd2K9s2c8@1M7s2y4Q4x3@1q4Q4x3V1k6Q4x3V1k6Y4K9i4c8Z5N6h3u0Q4x3X3g2U0L8$3#2Q4x3V1k6D9j5i4u0D9j5i4u0#2j5g2)9J5c8V1q4#2N6r3!0o6g2V1f1`.

AutoCVE 目前仍在持续迭代中，希望通过这个项目探索 Agent 在自动化 CVE 挖掘和代码安全审计中的更多可能。

欢迎 Star、Issue 和 PR，也欢迎安全研究人员、开发者和 Agent 爱好者一起交流。

[内核课程]《Windows内核攻防实战》！从零到实战，融合AI与Windows内核攻防全技术栈，打造具备自动化能力的内核开发高手。