2026年10月6日，Pwn2Own竞赛在爱尔兰科克开赛。首日，安全研究人员把火力集中对准AI基础设施。21轮测试里，LiteLLM先后被两支互不相干的团队拿下，OpenAI 
Codex被单个漏洞击穿，Oracle自治AI数据库也没能挡住。Zero Day Initiative（ZDI）官方博客称，当天研究人员共演示32个零日漏洞，拿走超过38万美元奖金。
所有参赛目标都是生产版本软件，规则要求利用链必须现场完整打通。
LiteLLM：同一天被打穿两次
Xint团队的安全研究员Taisic Yun先动手。他把"不当输入验证缺陷"和代码注入拼在一起，在LiteLLM上拿到反向shell，奖金4万美元。反向shell指的是攻击者能控制目标机器，并远程执行任意命令。
几个小时之后，Out of Bounds团队（HaeJung Yang与ByungYoung Yi）用了4个漏洞又一次攻破LiteLLM，其中2个是已知漏洞，奖金1.5万美元。同一款产品，同一天，被两支彼此不知情的团队独立攻破——漏洞就藏在核心处理逻辑里。
LiteLLM是开源的企业LLM网关，把对140余家模型提供商的API调用统一代理起来，日下载量约340万次。很多企业把它放在内网和外部AI服务中间，让它当流量枢纽和权限控制层。网关一旦被攻破，上游所有模型的请求数据、API密钥，还有下游系统，全都处在暴露状态。
Codex漏洞：旧病在新场景的精准复发
Ikotas Labs靠一个参数注入漏洞拿下OpenAI Codex，进账4万美元。ZDI的信息显示，该漏洞编号CVE-2026-19591，根子在Codex调用git命令时对传入参数过滤不够，攻击者能把shell控制序列夹带进命令链。
参数注入在CGI脚本年代就被系统研究过，Web安全领域几十年前就有成熟的防御规范。byteiota.com的分析认为，一个世界级代码生成Agent在2026年带着这个漏洞上线，问题出在代码生成工具处理外部输入的边界天然更复杂，安全审查难度也跟着上去：工具本身就是用来写代码的，它的输入路径和命令执行路径之间，距离比常规软件短。
已知漏洞未修复：比零日更危险的信号
Out of Bounds攻破LiteLLM用的4个漏洞里，有2个厂商已经知道。ZDI在首日博客里点明，Samsung Galaxy S26多轮被攻破的过程中，部分漏洞属于厂商已知却还没发补丁的情况。
pulse.adyog.com的分析写道，漏洞也是一个计时器，从被发现那一刻开始走，直到补丁发布才停。对企业用户来说，已知漏洞摆在那里，说明修复优先级的排序出了问题。
LiteLLM在2026年3月遭遇过供应链攻击，恶意PyPI包混进了分发渠道。Pwn2Own首日的两次突破，就发生在这个背景之后。官方已经发布1.83.7及以上版本作为修复更新，但大规模部署场景下，版本管控往往有惰性。
企业部署风险的真实维度
AI基础设施的攻击面和传统Web应用存在结构性差异。像LiteLLM这样的网关，承载着企业内部业务系统与多家外部AI服务之间的全部流量。一旦被攻破，攻击者拿到的不只是服务器权限，而是整个请求通道的可见性——用户输入、模型输出、API凭据、调用模式，都在里面。
OpenAI Codex作为代码生成工具，通常和代码仓库、CI/CD流水线有集成关系。参数注入换来的命令执行权限，放到这类集成环境里，横向移动的空间更宽。
Pwn2Own的竞赛规则决定了，漏洞细节在厂商完成修复前不会公开披露。所以企业侧现在能拿到的信息有限，只能等厂商的更新通告。
行业正在重新发明它本不该忘记的东西
Pwn2Own爱尔兰首日暴露的漏洞类型，几乎全是经典类别：输入验证失败、代码注入、参数注入。这些在Web安全领域几十年前就被研究透了。AI系统的特别之处在于，它们把外部文本大量引入命令执行链，而且这个过程频率极高，几乎发生在所有核心功能路径上。
传统软件对外部输入有相对清晰的边界：一个HTTP请求进来，验证之后进数据库或者渲染页面。AI网关和代码生成工具把这条边界打破了——用户提交的自然语言文本，可能直接影响后端命令怎么构造。这就要求安全审查钻进每一条可能把外部输入带进执行上下文的代码路径，而不是只在API入口做一层过滤。
首日的结果说明，AI基础设施产品的安全成熟度，和它们在企业的部署规模之间有明显落差。32个零日漏洞在单日内被演示，集中体现出整个AI应用层的安全工程实践还没追上产品扩张的速度。
