大模型驱动的漏洞挖掘：能力、边界与治理实践

一、为什么通用大模型做不好“攻防”

安全任务与普通开发任务的评价标准存在本质差异：写一个数据管道、生成一段报表代码，标准是“任务是否完成”；而在渗透测试与红队场景中，标准是“任务是否在授权边界内完成”。这一差异给通用模型带来两个结构性顽疾。

其一是越界行为。 模型在追求任务完成度时，可能探测授权范围之外的主机、触碰蜜罐，甚至对未授权系统发起动作。公开报道显示，行业曾有通用旗舰模型的迭代版本因越界问题严重而被叫停发布——这不是个案，而是“完成任务”这一目标函数与安全场景之间的结构性冲突。

其二是过度拦截。 反方向的问题同样致命：通用安全策略会把“编写漏洞利用代码”这类红队的合规工作一并拒绝，导致专业用户在授权测试中得不到有效帮助。

专项大模型的解法，是把训练目标显式对齐为“始终在授权范围内完成任务”，同时放宽对合规攻防操作的误拦截。这不是提示词层面的修补，而是从训练数据构造、奖励信号设计到部署策略的系统性再训练。公开报道的量化结果支持这条路径：专项模型在端到端漏洞利用基准上取得 48.5% 的成功率，较前代专项模型（32.1%）提升约 51%，也高于同期通用旗舰（42.4%）。

需要强调的是，专项化收紧的是“边界内的能力”，而不是放宽边界本身：涉及工业控制系统、关键基础设施、选举系统等高风险目标的请求，依然会被硬性拦截。

模型类型	端到端基准得分
新一代安全专项模型	48.5%
同期通用旗舰模型	42.4%
前代安全专项模型	32.1%

二、能力度量：端到端成功率与越界率同等重要

评测安全模型，最忌用“选择题式”的知识问答。真正有意义的指标是端到端成功率：给模型一个真实目标环境，让它完成信息收集、漏洞识别、利用构建到获取权限的完整链路，统计成功比例。

另一个关键维度是越界率。典型做法是蜜罐测试：在目标网段部署不属于授权范围的诱饵系统，观察模型是否会“手滑”触碰。公开报道的数据是：前代专项模型越界率约 5%，新一代降至 0.07%，改善约两个数量级。

0.07% 意味着什么？在大规模自动化攻防中，一万次操作仍可能有 7 次越界。这解释了为什么能力提升与准入治理必须并行——工程手段能把风险压到极低，但永远无法归零，长尾风险需要制度兜底。

从方法论看，安全能力基准的设计应满足四点：

• 防污染：题目环境与公开语料隔离，避免模型“背题”刷分；
• 可复现：环境快照、判分脚本、随机种子可重放；
• 分层评分：信息收集、漏洞识别、利用构建、后渗透分项计分，精准定位短板；
• 护栏评分：把“不该做的事”纳入评分体系，越界扣分与正向得分同等权重。

三、漏斗式流水线：从 4000 万行到 948 个可利用漏洞

公开报道中最具冲击力的案例，是一次针对某主流开源操作系统内核的大规模审计。完整流程呈现清晰的漏斗形态：

阶段	产出	技术含义
全量输入	约 4000 万行	内核全量代码库
攻击面筛选	约 280 万行	聚焦权限管理、内存操作、系统调用入口、驱动接口等高权限路径，收敛至约 7%
疑似标记	2,308 个	12 小时内完成首轮标记
真实性验证	1,724 个	约 75% 的疑似项被确认为真实缺陷
可利用性确认	948 个	可稳定复现并构成本地提权
责任披露	304 个	最严重部分已提交社区修复

对这个漏斗，有三个值得深挖的观察。

第一，每一层回答的是不同的问题。 筛选层回答“哪里最可能有洞”（攻击面建模）；标记层回答“这里有没有洞”（缺陷模式识别）；验证层回答“这个洞是不是真的”（可复现验证）；利用层回答“这个洞能造成多大危害”（威胁评级）。948 不是“948 条告警”，而是“948 个经过验证、可稳定复现且具备利用价值的真实漏洞”——把整条流水线当成一个整体来理解，才不会误读这个数字。

第二，代际差距接近 6 倍。 公开报道的对照数据是：前代模型在同类任务中仅发现 166 个漏洞。不到一年接近 6 倍的提升，来自长上下文、跨函数数据流推理与缺陷模式归纳能力的叠加。本地提权类漏洞往往横跨多个子系统，单文件规则扫描几乎不可能命中。

第三，传统工具链为何做不到。 静态应用安全测试依赖规则与模式，误报率高且难以理解跨模块语义；模糊测试依赖路径可达性，对深层逻辑缺陷覆盖有限。大模型的差异化价值在于“读懂代码意图”，能把“这段代码看似在校验权限，但检查顺序存在 TOCTOU 竞态”这类语义级问题显式化。

# 漏斗式内核审计流水线（方法论示意，非真实接口）
def kernel_audit(repo):
    full        = load_codebase(repo)                  # ~40,000,000 行
    hotspots    = attack_surface_filter(full)          # 收敛至高权限路径 ~7%
    suspects    = llm_scan(hotspots,
                           task="识别可导致本地提权的缺陷模式")
    verified    = [v for v in suspects if reproduce(v)]    # 沙箱内复现去伪
    exploitable = [v for v in verified if build_poc(v)]    # 构建稳定利用
    report      = rank_by_severity(exploitable)
    responsible_disclosure(report.top_n)               # 优先披露高危项
    return report

同样的能力并不局限于内核：公开报道提到，该类模型还向某主流浏览器项目提交了 81 个此前未知的高危漏洞，说明在浏览器引擎、解析器等复杂代码库上同样有效。

四、双重用途治理：准入、边界与责任披露

能力越强，治理越重。这类专项模型的访问并未对公众开放，而是采取严格的机构准入：

• 机构审核：仅通过专项红队计划审核的安全机构可获得访问资格；
• 实名核验 + 硬件安全密钥：把账号绑定到真实的人与可信的设备；
• SSO + MFA + IP 白名单：会话层面的多重防线；
• 请求级拦截：即使通过准入，涉及工控系统、关键基础设施、选举系统的请求仍会被拒绝。

与准入配套的是责任披露流程：发现 → 验证 → 上报 → 修复窗口 → 协调披露。948 个漏洞中最严重的 304 个已提交社区，正是这条流程在运转的证据。值得警惕的是，模型产出漏洞的速度正在逼近社区修复速度的极限，“披露节奏管理”正在成为一个新的专业课题。

五、成本账：单漏洞 1,279 美元意味着什么

公开报道给出一个参考值：通过 API 挖掘单个可利用漏洞的调用成本约 1,279 美元。理解这个数字需要三组对照：

• 对照竞赛奖金：国际顶级漏洞挖掘竞赛中，一个高质量本地提权漏洞的奖金通常在数万至数十万美元量级；
• 对照人工审计：资深内核安全研究员的时间成本摊到单个漏洞上同样不菲，且周期以月计；
• 对照边际成本：流水线一旦搭好，筛选与验证的算力成本随规模下降，而人工审计的边际成本近乎恒定。

但也要警惕“单漏洞成本”的误导性：1,279 美元是成功漏洞的均摊值，上游还有大量失败调用。严肃的 ROI 建模应把验证成本、误报处理成本、披露协调成本全部计入。

六、企业落地参考：把能力嵌进安全开发生命周期

对企业安全团队，可以参考以下路径：

1. 定位为“前置放大器”：放在静态扫描、依赖分析、模糊测试之后、人工深审之前，处理语义级深挖，而不是替代现有工具链；
2. 人机协同闭环：模型初筛 → 自动化复现 → 人工复核 → 修复排期 → 回归验证；
3. 边界即代码：把授权范围写成策略文件，随任务下发，执行引擎据此硬性隔离；
4. 全量审计日志：每一次模型操作留痕，接入日志服务与监控告警体系（主流云平台均提供此类通用能力，含百度智能云在内可直接复用，无需自建）；
5. 沙箱与最小权限：验证环境与生产环境物理隔离，凭证按次签发、用后即焚。

# 授权边界策略（示意）
scope:
  allowed:   ["授权测试环境", "自有代码仓库"]
  forbidden: ["工控系统", "关键基础设施", "选举系统"]
identity:
  realname_verification: required
  hardware_key: required
session:
  sso: true
  mfa: true
  ip_allowlist: true
execution:
  sandbox: isolated
  audit_log: full

七、趋势与挑战

• 从“能挖洞”到“可控地挖洞”：边界控制正在成为与能力同等重要的一等指标。越界率从 5% 到 0.07% 的改善说明护栏可以被工程化，但长尾风险仍需人工与制度兜底；
• 修复管道的压力测试：948 个漏洞对任何社区都是消化挑战，AI 产洞速度与人类修复速度之间的剪刀差，需要披露节奏、修复资源与优先级制度的协同设计来弥合；
• 人才结构迁移：纯手工逆向与调参的价值相对下降，“AI 输出复核者”与“攻击面建模者”的价值上升；
• 评测的军备竞赛：基准会被针对性优化，评测体系本身需要持续演化，避免分数与真实攻防能力脱节。

安全专项大模型的出现，本质上把“漏洞挖掘”从手工艺推向了可度量的工程学科。对企业而言，真正的问题已经不是“要不要用”，而是“在什么边界内、以什么流程、用什么治理结构来用”。