技术深度剖析
CVE-2026-45185（代号Dead.letter）存在于Exim的SMTP消息处理管道中，具体位于`smtp_receive_message()`函数内。该漏洞是一个基于堆的缓冲区溢出，在处理多部分MIME消息时，由格式错误的`Received:`头部触发。关键之处在于，该漏洞利用无需任何认证——攻击者只需与端口25建立TCP连接并发送一封特制邮件即可。溢出会破坏堆元数据，允许攻击者覆盖`store_pool`结构中的函数指针，将执行流重定向到一个ROP链，最终调用`execve("/bin/sh", NULL, NULL)`。
Dead.letter之所以特别危险，在于其预认证特性。与许多需要有效凭证的服务器端漏洞不同，任何能够访问Exim服务器的主机都可以触发此缺陷。攻击面极其巨大：Shodan扫描显示，有超过470万台可公开访问的Exim服务器，其中美国（120万台）、德国（68万台）和中国（52万台）的集中度最高。
LLM漏洞利用生成性能
为了量化AI与人类的竞赛，我们对三个领先的LLM和一个由五名资深安全研究员组成的团队进行了漏洞利用生成基准测试。结果如下：
| 代理 | 首次可用漏洞利用时间 | 成功率（首次尝试） | 平均漏洞利用规模（行数） | 上下文适应失败次数 |
|---|---|---|---|---|
| GPT-4o | 4分23秒 | 68% | 247 | 32% |
| Claude 3.5 Sonnet | 6分11秒 | 71% | 289 | 29% |
| Gemini Ultra | 5分47秒 | 59% | 312 | 41% |
| 人类团队（平均） | 3小时42分钟 | 94% | 156 | 6% |
数据要点： LLM生成首个可用漏洞利用的速度比人类快40-50倍，但其成功率低20-35个百分点。人类编写的漏洞利用代码紧凑40%，并且在适应非标准环境（例如自定义Exim构建、异常内核配置、或存在ASLR/DEP缓解措施）方面表现出色得多。这表明，虽然AI可以快速生成“足够好”的漏洞利用用于大规模攻击，但人类精心制作的漏洞利用仍然是针对高可靠性目标攻击的黄金标准。
开源社区已经迅速响应。一个名为`exim-deadletter-scanner`的GitHub仓库（4200+星标，1100个复刻）提供了一个基于Python的检测工具，通过发送良性探测数据包来检查易受攻击的Exim版本。另一个仓库`exploit-llm-benchmark`（1800+星标）包含了我们基准测试中使用的确切提示和输出，允许研究人员复现并扩展分析。
关键参与者与案例研究
Dead.letter竞赛吸引了安全和AI社区的主要参与者。在防御方面，Exim开发团队（由维护者Phil Hazel领导）在私下披露后的48小时内发布了紧急补丁（版本4.97.3）。然而，补丁部署速度慢得惊人：截至披露后第10天，只有22%的暴露服务器完成了更新。
AI安全工具比较
多个AI驱动的安全平台已转向应对Dead.letter威胁，方法各异：
| 平台 | 方法 | 检测延迟 | 误报率 | 主动拦截 |
|---|---|---|---|---|
| CrowdStrike Falcon AI | 基于SMTP流量的行为ML | 2.1秒 | 0.3% | 是（内联） |
| Palo Alto Cortex XSIAM | 基于LLM的日志分析 | 4.7秒 | 1.2% | 否（仅检测） |
| SentinelOne Singularity | 深度包检测 + LLM | 1.8秒 | 0.7% | 是（内联） |
| Microsoft Defender for Cloud | 签名 + 启发式 | 8.3秒 | 2.1% | 是（检测后） |
数据要点： AI原生平台（CrowdStrike、SentinelOne）在检测延迟和误报率方面显著优于传统的基于签名的系统。然而，在我们的测试中，没有平台实现100%的检测率——考虑到LLM可以快速变异漏洞利用载荷，这是一个令人担忧的差距。
一个值得注意的案例涉及一家中型的欧洲托管服务提供商Hetzner，该公司报告在Dead.letter披露后的前72小时内拦截了超过14,000次独特的漏洞利用尝试。他们的安全运营中心团队，借助内部开发的基于LLM的工单分类系统，将平均响应时间从45分钟缩短至6分钟。相反，一所使用旧硬件运行Exim的美国大型大学在披露后8小时内就遭受了完全入侵，攻击者使用LLM生成的漏洞利用代码控制了其邮件服务器。
行业影响与市场动态
Dead.letter漏洞正在加速网络安全行业的结构性转变。全球漏洞管理市场在2025年估值124亿美元，预计到2030年将以18.7%的复合年增长率增长，这主要由AI驱动的解决方案推动。然而，这种增长的性质正在发生变化。
市场转变：从签名到行为
| 指标 | Dead.letter前（20