产品
SnakeYAML
Java 生态中广泛使用的 YAML 解析库，支持 YAML 类型标签，但默认配置存在不安全反序列化风险。
时间轴 (近 90 天)
10月14日
在 LSCBench 的 Java 配置导入器案例中，智能体重写了缺失的核心文件，14 个隐藏功能测试全部通过，但 4 个安全测试全部失败，因为它使用了 SnakeYAML 的默认构造函数，会执行上传 YAML 中的每一个 !!class 标签。
待验证50%
10月14日
SnakeYAML 默认 load() 或 new Yaml() 支持 !! 类型标签，可触发任意 Java 类实例化，对应 CWE-502 不可信数据反序列化漏洞；防御方式是使用 SafeConstructor、Constructor 白名单或 LoaderOptions 限制可解析类型。
待验证50%