国外有人放出个仓库，说是让国产的那个新模型对着某开源数据库的最新版扫了一个半小时，报出十九个此前没公开过的问题。数字挺唬人，但仔细看会发现关键在于它不是一条条读代码，而是自己造输入、自己跑、自己看崩没崩，闭环全自动。
这件事真正的意义不是十九这个数，是成本。以前这种模糊测试要人搭环境、写用例、盯结果，现在整个链条能挂机跑。攻防两边的成本同时被拉低了，防守方也可以在发版前先自己扫一遍。
当然结论得等维护者确认，社区里对重复报告和误报的质疑不少。要是最后确认下来只剩三五个，那也够说明问题了。
误报率没说 这个最关键