漏洞研究的AI辅助工程实践：能力与权限边界

一、背景：同一种能力，两个方向

代码理解与推理能力提升之后，自动化分析软件缺陷变得可行。同一套能力既能帮助防守方更快发现问题，也可能降低攻击者的技术门槛。行业讨论的焦点因此从“模型能不能做”转向“做的时候由谁约束，以及如何验证约束有效”。

近期行业报道中的评测数字依赖测试集、是否提供源码、是否允许多轮尝试等条件。脱离这些条件单独引用百分比，容易得出错误结论，本文不复述具体数字。下面从工程角度说明，如何设计安全研究流程，使AI辅助工具的能力可控、可审计、可复现。

二、先拆开“能力”：发现、复现、评估是三件事

很多讨论把漏洞相关能力压缩成一个数字，实际上至少包含三个环节：

1. 发现：在代码或系统中定位可疑缺陷，输出候选问题列表。
2. 确认与复现：在隔离环境中验证缺陷是否真实存在，能否稳定触发。
3. 影响评估：判断严重程度、受影响范围和触发条件。

三个环节的风险和价值各不相同。发现环节的主要问题是误报，误报会占用维护者的时间。复现环节必须严格隔离。影响评估决定修复优先级。研究团队应分别记录这三类指标。

指标	含义	常见误读
召回率	已知缺陷中被找到的比例	忽略测试集是否已公开
误报率	报告中不成立的比例	只看召回，不看误报
复现成功率	报告能被独立复现的比例	把“能复现”等同于“可被利用”
严重度一致性	工具评级与人工评级的吻合程度	直接采用工具给出的评级

评估时，至少要记录数据集来源、样本规模、是否提供源码、允许的尝试次数。缺少这些信息，不同来源的数字无法比较。

三、把“遵守权限范围”变成可验证的代码约束

“遵守授权范围”不能只依赖模型自律，应在执行层加入硬性检查。常见做法包括：

• 目标白名单：只允许访问预先登记的主机、域名或网段。
• 动作白名单：只允许只读侦察、静态分析等明确列出的操作类型。
• 时间与速率限制：限定运行窗口和请求频率。
• 人工确认闸门：超出白名单的请求一律暂停，等待授权人确认。

下面的示例展示了默认拒绝（deny by default）的策略判断逻辑：

from dataclasses import dataclass
from ipaddress import ip_address, ip_network
from urllib.parse import urlparse
@dataclass(frozen=True)
class ScopePolicy:
    allowed_networks: tuple = ()
    allowed_hosts: frozenset = frozenset()
    allowed_actions: frozenset = frozenset({"read_only_scan", "static_analysis"})
    def permits(self, action: str, target: str) -> bool:
        if action not in self.allowed_actions:
            return False
        host = urlparse(target).hostname or target
        if host in self.allowed_hosts:
            return True
        try:
            addr = ip_address(host)
        except ValueError:
            return False
        return any(addr in ip_network(net) for net in self.allowed_networks)

调用任何工具前先执行判断，结果写入审计记录：

def run_step(policy, action, target, executor, audit_log):
    if not policy.permits(action, target):
        audit_log.append({"action": action, "target": target, "result": "denied"})
        return None
    result = executor(action, target)
    audit_log.append({"action": action, "target": target, "result": "allowed"})
    return result

实际部署时还要注意两点。第一，域名在执行前后可能解析到不同地址，校验应在解析之后再做，并在执行前后各检查一次，防止域名指向范围外的IP。第二，策略文件应由授权负责人维护，执行模块只读取，不能修改策略。

四、隔离环境：权限最小化是底线

隔离的目的不是阻止模型“想做”什么，而是让错误行为的影响范围保持可控。建议至少落实以下五项：

• 网络出口控制：默认禁止外联，只开放必要端口。
• 无生产凭据：测试环境不放置真实密钥，凭据使用一次性令牌并设置短有效期。
• 快照与回滚：验证前后各做一次快照，出现异常时可以恢复到已知状态。
• 资源配额：限制CPU、内存和运行时长，防止任务失控占满资源。
• 日志留存：记录输入、输出、时间戳和操作者身份，日志本身也需要访问控制。

隔离环境应与生产环境在网络和身份体系上彻底分开。只靠命名或标签区分，不能算作隔离。

五、多角色分工与审计

将流程拆成若干角色，每个角色只拥有完成本职工作所需的权限：

• 侦察角色：梳理资产清单，收集公开可获取的信息，不发送修改类请求。
• 分析角色：基于代码或响应数据提出假设，并给出置信度，本身不执行任何操作。
• 验证角色：仅在隔离环境中复现假设，并受上文的权限策略约束。
• 报告角色：生成结构化报告，对