AI 审计再下一城：在 Bron Labs 加密库中发现多个零日漏洞
研究团队用 Claude Opus 4.6 与 Codex 5.3 双智能体流程审计 Bron Labs 的 bron-…
AI 与密码学的碰撞再次产生结果：某研究团队使用 Claude Opus 4.6 与 Codex 5.3 组成的双智能体审计管线，对 Bron Labs 旗下的 Go 语言密码学库 bron-crypto 进行了自动化代码审查，最终在 30 个候选漏洞中确认了 4 个值得详述的零日问题，其余大部分在团队验证前已被维护者修复。研究者也通过 Bron Labs 的漏洞赏金计划获得了致谢与奖励。
整体流程与结论概览
研究者延续了此前在 Cloudflare CIRCL 与 OpenVM zkVM 上的实验方法：让 Claude Opus 4.6 与 Codex 5.3 互为主审与独立验证方，对同一份代码进行交叉审查。AI 自评的严重程度通常偏高，因为它无法看到下游调用者，只能按最坏情况假设。最终维护者确认的严重等级与 AI 自评存在系统性偏差。
- 30 个候选漏洞中，4 个被深入分析并完整披露。
- 其余大部分在被团队抽出时间验证前已被修复。
- 团队认为，这表明 LLM 在发现 bug 方面已经具备较高的一致性。
四个已确认漏洞速览
| # | 漏洞 | AI 评级 | 维护者评级 | 修复提交 |
|---|---|---|---|---|
| 1 | Lindell17 DKG 加密份额因操作数互换而损坏 | 严重 | 高 | e80a2ea（#197） |
| 2 | Poseidon hash.Hash 实现违反 Go 接口契约 | 高 | 低 | 8d203d0（#202） |
| 3 | IsOnCurve 在 k256、Pallas、Vesta 上逻辑反相 | 高 | 中 | e070f8f（#196） |
| 4 | BLS12-381 G2 IsZero() 调用了 IsOne() | 低 | 低 | 4601a36（#222） |
四个漏洞全部由 Opus 4.6 配合相应技能发现。
重点漏洞：Lindell17 DKG 份额损坏
该漏洞位于门限 ECDSA 的分布式密钥生成（DKG）协议实现中。Lindell17 协议要求每一方选择私钥份额 x，将 Paillier 同态加密的 c 与椭圆曲线点 Q = x·G 作为公开份额。为满足零知识证明 L_PDL 的范围约束，原始实现将 x 拆分为 x' 与 x'' 两段，使得 x = 3x' + x''，再分别给出对应证明并由其他参与方验证重组。
代码中本应先以 Enc(x'') 起步，再三次同态累加 Enc(x') 以得到 Enc(3x' + x'')。然而实现写成了先加 Enc(x'')、再加三次 Enc(x'') 的形式，得到的是 Enc(x' + 3x'')，两个操作数被互换。
修复方式极为直接：将重复累加的对象换回 x' 即可，PR #197（提交 e80a2ea）已合入。
影响范围与启示
使用该 DKG 生成的分片（而非受信方分发的分片）的门限 ECDSA 会话，可能产出错误签名或完全无法签名。对托管类系统而言，这意味着可用性受损而非密钥泄露——私钥未被外泄，但协议无法正常完成签名。
这一系列实验表明，由主流编码 Agent 提供的标准化 harness 足以协调对多个独立密码学模块的审计，AI 找出的候选漏洞经过专家复核后可成为可靠的负责任披露来源，为密码学开源生态提供了一种新的安全审查路径。