AI 审计发现 OpenVM 配对库严重漏洞：OpenVM 1.6.0 已修复

ZKSecurity 将其 AI 审计器 zkao 用于 OpenVM 的 zkVM，发现 guest 库 openvm-pairing 存在关键可靠性漏洞：恶意证明者可伪造任意配对等式。漏洞编号为 CVE-2026-46669，已在 OpenVM 1.6.0 中修复；已知构建在 OpenVM 之上的合作方随后均升级到该版本。

影响边界需要明确：问题不在 zkVM 的证明系统本身，而在使用易受攻击配对库的代码。文章强调，模型只生成候选发现，并不直接形成最终安全报告；人工团队验证了可利用性、影响范围和受影响项目，再进行负责任披露。

此前使用 Opus 4.6、Codex 5.3 及后续版本的扫描曾给出多个被标为严重的候选，但并非都可利用。作者认为，模块依赖紧密的复杂 zkVM 并不适合简单地按目录拆给子任务执行器；有效流程需要专业技能、足够上下文以及人工复核，才能把候选信号转化为可靠结论。

OpenVM 审计案例概览。漏洞相关的子域检查示意。