事故报告：CVE-2026-LGTM
Andrew Nesbitt 撰写的一篇精彩的假设性事故报告。两个来自不同供应商的AI审查代理，在一个下游拉取请求中因升级 foxhole-lz4 包而产生分歧，陷入了关于该包是否恶意的争论循环。经过340条评论和41,255美元的推理费用后，财务部门撤销了两个API密钥；其中一家供应商的市场团队在看到成本异常警报后，发布了一篇新闻稿，声称"多智能体对抗安全推理同比增长430%"，股价随即上涨6%。
背景速读
- 这是 Andrew Nesbitt 写的一篇虚构（"假想"）事故报告，讽刺 AI 在软件供应链安全中可能引发的荒诞局面。
- 背景：业界越来越多地使用 AI 代码审查机器人（如 GitHub 的 Copilot Code Review）来自动检查依赖包更新是否安全。不同厂商的机器人可能对同一个变更给出截然不同的结论。
- 文中关键梗 "CVE-2026-LGTM" 模仿真实漏洞编号（如 CVE-2025-XXXX），"LGTM" 是 "Looks Good To Me"（看起来没问题）的缩写，讽刺 AI 审查反而制造出人为漏洞。
- 核心场景：两个 AI 审查代理就一个包是否恶意陷入无限争论，耗费 4.1 万美元推理费用，最终财务部门强制撤销 API 密钥——但其中一家厂商的营销团队却把这场闹剧包装成正面新闻，导致股价上涨。
- 该假想事件触及的现实痛点：AI agent 的成本失控、厂商营销包装炒作、多 agent 系统缺乏停止机制，以及软件供应链安全审查的人机协作难题。