|
【事件概述】GitHub安全实验室于2026年9月28日发布案例，介绍如何用开源的GitHub Security Lab Taskflow Agent审计Android应用，并已发现、报告24个移动应用漏洞。
【对象与发布方】对象是GitHub Security Lab Taskflow Agent及其面向移动应用的审计任务流；发布方为GitHub，作者Kevin Stubbings，官方发布日期为2026年9月28日。
【关键能力与改动】研究人员通过gather_mobile_entry_point_info.yaml区分移动与非移动入口，并修改classify_application_local.yaml，让模型针对导出组件、Intent、混淆代理、不安全广播等移动端漏洞类别建立威胁检查清单。任务流可在代码空间中运行，命令为./scripts/audit/run_mobile.sh myorg/myrepo，结束后在SQLite结果表中查看has_vulnerability标记。文章给出的案例包括OsmAnd设置导入导致位置数据泄露，以及Wikipedia深链解析问题可能造成账户接管。
【适用对象】适合Android及其他移动应用维护者、开源安全研究人员和需要复用审计提示与流程的团队。
【实际影响与限制】开源任务流降低了移动应用安全审计的启动门槛，但运行需要GitHub Copilot许可并会消耗高级模型请求；中型仓库可能运行一到两小时且产生大量工具调用和Token消耗。模型擅长发现潜在漏洞，却可能误判严重性或产生误报，所有结果仍需熟悉移动安全的研究人员复核、验证概念证明并推动修复，不能把扫描结果当成没有漏洞的证明。
【官方来源】https://github.blog/security/how-we-found-24-android-vulnerabilities-using-our-open-source-ai-security-agent/ |
0