加载失败
这篇文章讲的是一个 AI security scanner 对 OpenEMR（一个开源电子病历/医疗记录系统）做审计后，报告发现了 38 个漏洞或 CVEs，评论里提到的类型主要是 SQL injection、XSS、path traversal 和 IDOR。OpenEMR 本身是一个运行了二十多年的 PHP 项目，很多人把它视为典型的老旧医疗软件代码库，既有历史包袱，也有长期缺乏投入的问题。讨论的核心不只是 AI 能不能找到漏洞，还包括它和 SAST、DAST、SonarQube、linters、code review 之间到底是什么关系。评论还特别关注 responsible disclosure、补丁是否已发布，以及公开这些问题对真实患者数据和医疗机构意味着什么。另一方面，OpenEMR 也被放进医疗软件市场的现实里比较：商业 EHR 厂商如 Epic 价格高、流程重，而开源方案虽然可改进，但更依赖社区和维护者投入。
不少评论认为，这次结果证明 AI security scanner 在大规模代码库里能稳定抓到“低垂果实”：SQL injection、XSS、path traversal 这类传统 Web 漏洞，尤其适合审查 inherited codebase。有人把它描述成一种可自动化的“额外一双眼睛”，成本主要是几个 token，却能在 review 或开发阶段暴露人类漏看的地方。也有人补充，真正有价值的不只是拦截生产事故，还包括把这些问题尽早暴露给团队，让修补和复盘更快。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8]
另一派更强调人工 checklist 和 code review 的教育意义，认为 OWASP Top 10 之类的清单本来就该成为基础流程。手工去找这些漏洞，会逼审查者建立关于输入拼接、对象授权和输出编码的 mental model，而不是把理解完全外包给工具。也有人反驳说，人类并不会稳定地执行 checklist，所以更现实的做法是让 AI 或 linter 作为最后一道关卡，同时把解释能力也交给工具。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9] [来源10] [来源11]
很多人把这些漏洞放回 OpenEMR 的历史背景里看：它是一个有二十多年历史的 PHP 应用，技术债和复制粘贴式代码本来就容易滋生问题。有人指出，老 PHP 代码库常见的问题就是缩进混乱、重复逻辑和长期被搁置的安全修补，因为这类工作几乎不产生 business value。评论里还提到医疗软件市场本身就被 Epic 这类商业 EHR 厂商主导，开源项目更像是小诊所、海外场景或非营利团队在勉强维持的选择。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9] [来源10] [来源11] [来源12] [来源13] [来源14] [来源15]
也有不少评论直接质疑这件事的“AI 新意”，认为 SQL injection、XSS 和字符串拼接早就是 SAST、SonarQube、linters、甚至 DAST 的老领域。有人还把这比作“数学不用 calculator”，意思是问题并不是不能自动化，而是标题把已有工具换成了 AI 包装。唯一更难的是 IDOR 这类授权漏洞，它往往需要理解对象边界和业务语义，所以并不是所有 38 个问题都一样容易被传统扫描器抓住。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8] [来源9] [来源10] [来源11] [来源12] [来源13] [来源14] [来源15] [来源16] [来源17]
另一条线索集中在 responsible disclosure 和报道方式上。有人担心如果这些漏洞在补丁前就被公开，会让真实患者数据面临风险，因此希望文章先说明已私下通知维护者、补丁何时发布、用户该如何升级。也有人觉得整篇文章更像 marketing narrative，尤其是对 OpenEMR 的使用规模和“开源医疗记录软件”的包装需要更谨慎。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6]
更宏观的担忧是，AI 会把攻防两边的成本一起压低，让攻击者也能批量扫 open source 项目、找 zero days，于是 cybersecurity 变成一种资源竞赛。有人认为 closed source 并不会真正解决问题，因为代码看不见不等于看不穿，反而开源至少能让社区一起修。评论里还夹杂着一种冷幽默：如果 AI 现在能找 38 个 CVEs，那也许这只是当前已知问题的下限，而不是上限。
[来源1] [来源2] [来源3] [来源4] [来源5] [来源6] [来源7] [来源8]
OpenEMR: 一个开源电子病历/医疗记录系统，是这次被 AI 扫描并发现漏洞的目标项目。
CVE: Common Vulnerabilities and Exposures，公开漏洞编号体系，用来给已确认的安全问题分配统一编号。
SQL injection: 把用户输入直接拼进 SQL 语句，导致攻击者执行未授权查询、修改或删除数据。
XSS: Cross-Site Scripting，在网页中注入恶意脚本并让别人的浏览器执行。
Path traversal: 通过 ../ 等路径操控读取或访问不该暴露的文件。
IDOR: Insecure Direct Object Reference，只凭对象 ID 访问资源，缺少权限校验。
SAST: Static Application Security Testing，直接分析源码或字节码来找漏洞的静态安全测试。
DAST: Dynamic Application Security Testing，在运行中的应用上做黑盒或灰盒安全扫描。
OWASP Top 10: OWASP 总结的最常见 Web 安全风险清单，常用于安全培训和 code review checklist。