我们将人工智能审计管道指向Cloudflare的CIRCL实验性密码学库，确认了七个实际缺陷，从阈值RSA中的关键浮点64精度损失到基于属性的加密中的完全访问控制漏洞。这七个问题现已在上游修复。这是我们代理在开源密码学中发现的缺陷系列的第一篇文章。在zkSecurity，我们正在构建zkao，一个人工智能审计代理。其目标简单明了，但难以实现：持续地让人工智能关注您的代码，直到没有其他人工智能工具能够发现的缺陷为止。我们在文中解释了这种方法的重要性，名为《zkao：复合安全性》。构建zkao是一个迭代过程，最终目标是创建一个能够发现所有可以被AI检测到的缺陷的自动化审计员。这涉及到头脑风暴新想法和技术，系统性地将zkSecurity安全研究员的专业知识编码到zkao中，确保它可以检测到最新和最严重的漏洞，而不偏向基准，而且，重要的是，持续进行实验以了解什么有效，什么无效，模型如何演变，并加深我们对人工智能查找缺陷的理解。其中一些实验产生的内容值得分享，独立于产品，这正是这个系列文章的主题。还有一个第二个动机。这些实验是我们为zkao构建基准测试套件的方式，而同时它们也不断揭示出大型语言模型在实际推理密码学方面的见解：它们在哪些地方敏锐，在哪些地方盲目，以及如何放大前者并抑制后者。尽管缺陷是可见的输出，但推理模式是我们最关心的部分。几个月前，我们开始对选定的代码库进行实验。我们使用大型语言模型扫描了一些开源密码学项目，以两种配置进行：仅使用大型语言模型，简单提示；以及带有技能的大型语言模型，这些技能由我们团队的专家维护。然后，对于那些大型语言模型发现实际漏洞的重要项目，我们也运行了zkao，以查看其是否能够独立检测到相同的问题。在大多数情况下，zkao不仅发现了所有这些问题，而且还识别了一些更复杂和更严重的问题。结果足够好，以至于我们决定将其整理成文。我们以Cloudflare的CIRCL作为系列的开始，这是一个先进的后量子密码学库。在CIRCL中，我们的管道产生了许多候选发现，其中七个值得在此报告。所有七个现在均已在上游修复。大多数都已在Cloudflare的HackerOne项目中得到确认并获赏。澄清：人工智能生成了候选发现，而非最终报告。我们团队中的人依然对每个问题进行了验证，检查可利用性，必要时缩小POC，同时处理披露。这个人机交互的步骤仍然非常重要，因为人工智能候选发现的成本较低，而可信的报告则相对较高。缩小这一步骤是构建zkao的主要目标之一，尽管这仍在不断改进，但当前版本已经承担了大部分验证工作。严重性和修复一目了然：在详细信息之前，有一点值得指出：人工智能所赋予其自身发现的严重性是噪声。一位受害者将其每个错误在人工智能评估以及Cloudflare确认修复后的情况进行了标注。我们还检查了所有七个问题是否能在当前版本的zkao中一致重现。# 缺陷 人工智能严重性 Cloudflare严重性 修复提交 发现者 1 阈值RSA多项式评估中的浮点64精度损失 关键 低 f7d2180 Opus 4.6 + 技能 2 通过证明者控制的SecParam伪造 高 低 757dde4 Opus 4.6 + 技能 3 BLS聚合缺失消息唯一性 中 高 9798df7 Opus 4.6 + 技能 4 通过填充字节签名冲突打破DLEQ的健壮性 高 低 19848a5 Opus 4.6 + 技能 5 通过按位或开关绕过HPKE PSK验证 中 中（重复） a3b4fa3 GPT-5.3 + 技能 6 TSS/RSA拉格朗日系数在int64中 高 中 751e372 Opus 4.6 + 技能 7 CP-ABE通过AND分享漏洞打破访问控制 关键 关键 def2fd3 zkao 人工智能严重性和确认的严重性之间的差距本身也是一个有趣的见解，我们将会在最后对此进行回顾。现在我们逐个介绍这七个缺陷。缺陷1：浮点64中的多项式评估 此问题存在于CIRCL的阈值RSA实现（tss/rsa）中。阈值签名通过使用Shamir风格的秘密共享将秘密分割到n个参与者之间。Deal()在每个参与者的索引上评估一个秘密多项式。系数应该是big.Int，但x^i的项是这样计算的：// tss/rsa/rsa_threshold.go xi := int64 ( math . Pow ( float64 ( x ), float64 ( i ))) float64具有53位的尾数。当$x^i$超过$2^{53}$（大约$9 imes 10^{15}$）时，结果在被转回整数之前会悄然四舍五入。例如，当有100名参与者和27的门槛时，在$x = 100$且$i = 26$时进行评估。