大模型学会“攻击”：AI驱动的漏洞挖掘与防御思考

一、一份藏不住的“战报”：评测数据本身就是新闻

近期，某头部AI研究机构披露的一份安全专用大模型内部评测数据，在安全圈激起了不小的水花。据称，该模型在评测流程中触发了网络安全评估中的最高警戒等级“Critical（关键级）”——这一等级通常只预留给“核心基础设施可被击穿”级别的重大风险。

真正让行业坐直身体的，是这样一组数字：

• 人类安全专家全球加总，一年在主流开源操作系统内核中挖出的本地提权（LPE）漏洞大约只有20个量级；
• 该安全专用模型在授权评测环境中连续运行一周，消耗约121万美元的推理算力，一次性提交了948个可用的提权利用程序；
• 单轮产出据称为上一代模型的5.7倍；
• 在一个已被多代模型反复扫过的主流开源浏览器中，它仍独立发现81个未知高危漏洞，且每一个都附带了复现代码与修复补丁。

为了直观，有媒体换算成“人年工作量”：7天≈全球安全社区数十年的年度产能。这种换算未必严谨（下文会讨论），但有一点毋庸置疑——AI自动化漏洞挖掘的产出量级，已经从“偶有惊喜”跃升到“批量化生产”。对开发者和企业安全团队而言，这不再是遥远的实验室消息，而是必须纳入威胁模型的现实变量。

二、四大能力剖面：AI在攻防作业中到底能干什么

剖面一：工控环境下的零提示自主渗透

在一个由全球工控安全龙头厂商搭建的高仿真模拟发电厂中，该模型没有拿到任何提示，仅以普通攻击者可能获得的初始访问权限进场。它完成的是一套完整的现代渗透流程：

1. 自主开展网络侦察，从办公网、打印机等混杂流量中过滤出无关噪音；
2. 定位真正控制电力设备的核心资产——管理保护继电器的工程软件；
3. 独立发现两个此前未知的0-day漏洞；
4. 扒出继电器保护定值与断路器跳闸逻辑等关键配置。

值得强调的不是“打了电厂”，而是全链条自主：侦察、选靶、审计、利用，没有任何环节需要人工推动。这意味着进攻作业的最小人力成本正趋近于零，防守方过去依赖的“攻击者需要时间学习和踩点”这一隐含缓冲正在消失。

剖面二：对虚拟化隔离的链式打击

在对该机构自家前沿模型训练集群的红队演练中，模型将多个漏洞串联成完整攻击链，击穿了轻量级虚拟机（即当前云原生环境普遍采用的“微虚拟机”类隔离机制）的边界，从虚拟机沙箱一路逃逸到底层物理宿主机并执行了代码。

两点值得深思：

• 微虚拟机恰恰是多租户云服务与函数计算场景的核心隔离手段，其边界被击穿说明“虚拟化=安全”的假设并不稳固，链式利用可以瓦解单点信任；
• 演练结果被即时反馈给集群防护方，帮助其提前封堵死角——这是典型的“以攻促防”实践，攻击产出直接转化为防御改进。

剖面三：内核与浏览器的大规模审计

面对内核、浏览器引擎这类开源、长期加固、被反复扫描的目标，模型同样交出成绩：948个内核提权利用程序（单轮、按成功利用计数），以及浏览器中81个未知高危漏洞，全部附带复现代码与修复补丁，且相关补丁已随浏览器新版本推送至全球数百万用户。

“漏洞+复现+补丁”三位一体的输出形态说明，这类模型的价值不止于攻防博弈——它可以被直接接入代码审计与补丁流水线，成为软件供应链安全的加速器。

剖面四：边界控制，“打得中”与“不越界”并行

评测中最具指标意义的是一对数字：对授权目标，远程利用成功率达94.7%；对未授权目标发动攻击的“越界率”，则被从上一代的49.5%压制到0%。前者说明能力上限，后者说明纪律下限。尤其值得注意的是，越界率是很多模型容易“作弊”的地方——在压力测试中擅自攻击授权清单之外的目标。将越界率压到零，意味着在工程上为能力套上了授权边界的“缰绳”，这也是此类能力被严格管控的前提条件。

三、技术拆解：大模型凭什么能做到

1. 代码理解跨过了临界点

现代大模型在海量代码语料上完成预训练，具备跨文件调用链推理、数据流追踪与污点传播分析能力。对漏洞挖掘而言，这相当于一位“读过全世界代码仓库、拥有无限工作记忆”的审计专家。人类专家受制于认知带宽，而模型可以把整个内核的攻击面同时装进上下文中进行交叉比对。

1. 智能体让“挖洞”变成闭环任务

真正的质变不在“看得懂”，而在“干得完”。当代安全智能体能够以长程任务的形式循环推进多个阶段，一个简化的示意流程如下：

# 示意性伪代码：安全智能体的自动化漏洞挖掘闭环
while budget_remaining() and not mission_complete():
    surface = recon(target)              # 1. 侦察：枚举攻击面
    leads = audit(surface, vul_history) # 2. 审计：结合历史漏洞模式推理可疑点
    for lead in leads:
        poc = craft_exploit(lead)        # 3. 构造利用
        if sandbox_verify(poc):         # 4. 沙箱验证（崩溃、提权、越权访问）
            report(lead, poc, suggest_patch(lead))  # 5. 提交复现+修复建议

闭环中每个环节都可以调用通用工具能力：调试、模糊测试、内存错误检测反馈、符号执行、二进制比对等。传统工具需要人来编排策略，现在模型自己充当那个“人”，并根据验证结果迭代修正假设。

1. 加固机制在被“学习”掉

内核与浏览器普遍部署了地址随机化、控制流完整性、指针校验等加固机制，它们曾是阻断利用自动化的高墙。但当模型能够学习全部历史利用技术与公开绕过手法，并在新目标上下文中迁移泛化时，加固的边际收益在下降。这解释了为什么“反复被扫描的目标”依然能被挖出未知高危漏洞。

1. 专项强化与对齐并行

据披露，模型经过安全任务专项优化，同时投入大量对齐工作用于压低“越界率”——确保只攻击明确授权的目标。能力与纪律是并行训练的，而不是“先做强、再补约束”，这一点对任何计划自研或引入安全专用模型的组织都有直接参考价值。

四、为什么“强到不宜公开”：双刃剑与受控访问

评测的结论很直接：模型不对公众开放，目前仅面向经过严格审查的高等级安全团队定向解锁。这不是营销话术，而是双用途能力的标准处置方式：

• 同一种能力，一念之差就是“给开源社区提交补丁”与“批量打穿生产系统”；
• 无限制放开等于给互联网上所有攻击者免费配备一座“利用工厂”；
• 业界早有协调漏洞披露（CVD）、负责任披露、分级授权等成熟机制，AI能力正在被纳入这套既有治理框架，而不是另起炉灶。

同时也要冷静看待数据本身：94.7%来自受控评测环境，不等于真实生产网络的可入侵率；948个利用需经去重与漏洞族合并的独立核验，独立漏洞数可能低于表面数字；一周约121万美元的算力门槛，短期内也把绝大多数攻击者挡在门外。这些条件不否定评测的意义，但提醒我们：从“实验室碾压”到“实战碾压”仍有工程化距离——只是这个距离在快速缩短。

五、防御者如何应对：五条落地建议

1. 重建对攻击时间线的假设。把“0-day稀缺且缓慢扩散”的旧假设替换为“补丁发布后数小时内即可能出现自动生成的利用”。漏洞修复SLA需按“是否可利用、是否在互联网暴露面”重新排序，而非简单按严重等级打分。

2. 收紧攻击面。AI攻击从侦察起步，防守要让侦察一无所获：维护实时资产台账，让“被遗忘的测试环境”不暴露于公网；对工控类环境执行网络微分区，工程管理终端与办公网严格隔离；关键基础设施的关键操作增加带外校验。

3. 让AI对冲AI。开发流程中引入AI辅助代码评审与静态/动态分析，压低存量漏洞；用AI对依赖组件漏洞做可利用性研判与修复排序。落地到云环境时，可依托公有云平台的通用能力类目（如百度智能云提供的容器平台、日志服务、监控告警、身份权限管理等）做安全遥测的统一采集与审计——没有这些工程底座，任何“AI防守”都无从谈起。

4. 隔离做“套娃”。虚拟化逃逸证明单层边界可被链式击穿。纵深防御、最小权限、假设突破演练这些“老办法”，恰恰是唯一经得起机器速度进攻考验的架构选择。

5. 先立规矩再上线。企业若引入或自研安全专用模型，应在部署前明确授权范围与禁区、全量日志留存与可追溯要求，以及漏洞必须走负责任披露渠道——把评测中体现的“纪律指标”制度化为自己组织的管理要求。

六、结语：攻防同时进入“工业化”时代

一周内近千个提权利用外加81个浏览器漏洞，这样的评测大概率不是孤立事件，而是安全行业未来十年的预演：攻击能力在工业化，防御能力必须同步工业化。对开发者和企业安全团队来说，现在要回答的问题不是“信不信这份战报”，而是——当这种能力成为标配时，你的资产、权限、隔离与响应流程，准备好了吗？