由零日计划（ZDI）主办的 Pwn2Own Ireland 2026 于 10 月 6 日至 9 日在爱尔兰科克举行。今年首次设立 AI 基础设施赛项，结果两天之内该赛项的每一个目标都被攻破：LiteLLM 两度失守，OpenAI Codex 被单漏洞攻下，NVIDIA Dynamo 与 Chroma 相继沦陷，Oracle 自治 AI 数据库被两组选手用不同漏洞链连续击穿。首日大会即公布 32 个零日漏洞，次日再添 45 个，两日累计 77 个唯一零日。
事件概述
Pwn2Own 是受控的压力测试而非真实入侵：厂商提前获得细节，通常在 ZDI 的负披露窗口内发布补丁。本届目标覆盖手机、智能家居、打印机与 AI 工具。首日奖金超过 36.8 万美元，次日再发 23.25 万美元。AI 基础设施成为与浏览器、手机并列的一类目标，被普遍视为今年最具信号意义的变化。
技术细节
AI 赛项的漏洞类型并不新潮。Xint 团队 Taisic Yun 用输入校验不当加代码注入的组合，在 LiteLLM 上拿到反弹 shell；这个代理层每天承载约 340 万次下载、对接 140 多个模型供应商，任何缺陷的影响半径都很大。Out of Bounds 团队随后用四个漏洞再次攻破同一目标，LiteLLM 当日两度失守。OpenAI Codex 则栽在一个参数注入上：向 git 命令传递参数时对控制序列中和不足，打开一个恶意文件夹即可触发，单漏洞、CVSS 7.8、奖金 4 万美元。此外，Out of Bounds 的 HaeJung Yang 攻破 NVIDIA Dynamo，Team MAMMOTH 拿下 Chroma，Oracle 自治 AI 数据库先被五漏洞链攻破，次日又被七漏洞链击穿。
影响评估
值得关注的不是某一个漏洞，而是漏洞类型的高度重复：参数注入、输入校验缺失、代码注入，都是 Web 应用二十年前就被反复教育过的问题，如今换个界面重新出现在 AI 工具链上。移动端同样不轻松：三星 Galaxy S26 在两日内被六支不同队伍、用六条独立利用链攻破，其中日本 Ikotas 团队仅凭一封邮件串起四个漏洞就实现远程代码执行，其负责人表示底层问题同样触及 Google Pixel 10，并可能影响 Pixel 11。三星已确认其中一枚为已知问题，其余仍在 90 天负披露窗口内。
修复建议
- 把 LiteLLM、Codex 一类 AI 中间层当作普通应用对待：关闭未认证端点、限制网络暴露，并确认历史命令注入漏洞已修补。
- 将 Oracle 自治 AI 数据库、Sonos、Home Assistant 等列入近期紧急补丁观察清单，等 ZDI 公告发布后第一时间升级。
- 对 IoT 与智能家居设备做网络分段，避免直接暴露在互联网，限制单点失陷的横向影响。
- 移动设备管理应把最新旗舰机型的系统更新纳入强制策略，不要假设新机就一定安全。