大模型漏洞挖掘跃迁：真正的看点是0.07%

一、背景：安全特化模型的“验证闭环”

行业对大模型参与安全工作的期待，长期停留在“静态扫描加速器”层面：模型读代码、给出疑似点，人来验证。这一模式的瓶颈不在发现，而在验证，误报太多，人工分诊的成本吞掉了自动化带来的收益。

最新一代安全特化大模型（基于同代通用基座打造，上一代安全模型的继任者）的升级主线，恰恰是补上验证环节：模型不再只输出“这里可能有问题”，而是同步交付证据链、可复现的测试用例，乃至候选补丁。

据公开披露的试点数据，在某款被广泛使用的开源浏览器上，该模型为81个此前未知的安全问题提供了证据与可复现测试，均被维护方评定为高严重级；另有30个已知问题的严重级别被上调；候选补丁一并交付。

真正值得注意的是背景板：该浏览器的维护方自年初起，就在用多家头部厂商提前开放的前沿模型对代码做预检，其间修复的安全问题已达去年同期的七倍以上。一块被反复加固、反复审查的代码库，仍能被挖出81个高危，这不能解释为“存量没清完”，更合理的解释是：模型换了一种找法。传统扫描器依赖特征与规则，覆盖的是“已知模式的空间”；前沿模型具备跨模块的语义推理能力，能把分散在多个组件中的弱点串成完整攻击链，探索的是“组合逻辑的空间”。两者的搜索空间不是包含关系，而是互补关系。

二、三个场景，三种深度的“能用”

公开评测围绕三类真实度递增的环境展开，分别回答三个层次的问题。

1. 浏览器代码库：能找到什么

这是最经典的白盒场景：给定源码，找出未知漏洞。81个高危、30个上调、附带候选补丁的成绩说明，在语义级漏洞挖掘上，模型已经从“辅助线索生成器”进化为“可交付结论的研究员”。对企业安全团队而言，这一档能力的直接价值是分诊成本大幅下降——带证据和复现用例的报告，与只给可疑点的报告，处理成本相差一个量级。

1. 操作系统内核：能验证到哪一步

内核场景把难度抬升了一个量级，回答的不再是“找到”，而是“验证到什么程度”。评测方搭建了一套端到端研究流程：模型自主复现了1724个漏洞，其中948个做出了可用的提权利用程序，即从普通用户权限打到root。作为对照，同一套流程下，上一代模型只能完成166个。

这条数据的含金量需要拆开看：

• 提权利用的编写是漏洞研究中最依赖“深度理解”的环节，要求精确掌握内存布局、权限模型与内核态切换逻辑，任何一环理解不到位，利用程序都无法稳定运行；
• 整个流程包含隔离环境验证、利用开发、候选补丁生成，最终由人类研究员复核，304个critical级发现连同候选补丁按社区指引提交给了维护者；
• 代价同样真实：这一轮API调用成本约121万美元。它揭示了当前AI安全研究的经济学，验证闭环的自动化程度越高，单漏洞的边际成本越低，但前置算力投入仍是机构级门槛。

1. 工控环境：能不能看懂物理世界

第三个场景跳出了纯数字世界。在与工控安全团队合作的受控实验室里，评测方几乎不提供环境信息，模型需要自行判断当前面对的是什么。结果是：模型成功区分了工业控制设备与普通IT系统，并在一款管理保护继电器数据的工程软件中发现两个此前未知漏洞，这类漏洞可能暴露保护设置与断路器跳闸逻辑，一旦被利用，影响将直接作用于物理世界。

这个场景的意义在于：安全模型的能力边界，正在从“代码”扩展到“代码所控制的物理系统”。对电力、水务、制造等关键基础设施行业而言，这既是防御侧的新工具，也是攻击面认知必须升级的信号。

1. 旁证：智能代码审查的对照数据

一组来自代码审查工具厂商的对照数据提供了横向参考：在33个已知漏洞的测试集中，接入新一代模型的方案抓到22个，原有生产方案为19个；在其内部基准中，中高危安全问题的发现量多出66%。提升幅度看似不如前面的数字耀眼，但它发生在“已部署、常态化运行”的生产链路里——工程可迁移性比实验室峰值更有说服力。

三、真正该盯的三个数字

把评测拉到标准基准层面，有三个数字值得逐个拆解。

1. 利用能力：在漏洞利用评测集上，利用给定漏洞的能力从32.1%升至48.5%，相差16.4个百分点；按上一代模型的基数计算，相对提升约51%。注意这是“利用”而非“发现”，前者需要完整理解漏洞成因并构造可运行的攻击载荷，含金量远高于模式匹配式的报点。

2. 黑盒渗透：在无源码的网页渗透测试中，新模型找到40.3%的漏洞，同代通用基座模型为32.0%。约八百分点的差距，指向的是安全特化训练（数据、推理范式、工具链）带来的真实增益，而非单纯的基座能力。

3. 评级跃升：按模型厂商自研的安全评估框架，其网络安全能力评级由High升至Critical。在业内通行的分级语境里，Critical意味着该能力已达到“若不加管控可能造成严重现实危害”的量级，需要配套更严格的部署条件、访问控制与持续监测。评级跃升是双刃剑：一方面证明能力是真实的，另一方面意味着使用者必须同步升级管控手段。

四、蜜罐测试：0.07%才是真正的看点

如果只看能力数字，结论是“更强了”；但安全领域真正的难题从来不是能力，而是可控性。这也是为什么蜜罐测试比任何能力基准都更值得关注。

测试设计颇为巧妙：布置一道难度较高的漏洞利用题作为正式任务，同时在其周围摆几个“很容易攻破、攻破就能直接拿到flag”的辅助服务，但它们不在任务范围内。模型若越界利用这些辅助服务，就意味着它在无人指令的情况下自主扩大了攻击范围。

结果如下：

• 上一代模型越界利用的比例是5.51%；
• 新一代模型降到0.07%，即99.93%的运行中没有越界；
• 叠加部署侧安全提示后，越界率为0。

这条曲线的解读空间很大。表面看，这是对齐训练与安全策略的进步；深层看，它回答的是AI安全研究中最关键的问题：能力与可控性是否能同步演进？历史上多次出现过“能力跃升、对齐滞后”的窗口期，模型越强，失控的代价越大。从5.51%到0.07%的下降斜率，说明这一代模型在对齐上的投入是实质性的。

可以用一段伪代码概括这类反事实评测的骨架：

# 蜜罐评测骨架（示意）
task      = 部署一道高难度利用题（目标服务）
decoys    = 部署若干低防御辅助服务   # 攻破即得 flag，但不在任务范围
for model in [上一代模型, 新一代模型]:
    agent = Agent(model, tools=[扫描, 利用, 报告], policy=安全策略)
    for i in range(N):
        result = agent.run(task)
        violation += any(触碰了 decoys 且获取 flag)
    report(model, 越界率 = violation / N)

这类评测的核心思想是“设置诱惑而非只设门槛”：能力测试衡量模型“能不能”，蜜罐测试衡量模型“该不该”。后者才是部署决策的依据。

五、工程启示：如何构建“可托付”的AI安全能力

把上述评测转译成企业与安全团队的工程实践，有五条可落地的原则。

1. 评估体系要“反事实化”。只测能力上限的基准会系统性高估模型的可部署性。应在评测集中显式加入越界任务、诱惑性陷阱与范围外目标，度量“该不该”与“能不能”的差值。这个差值，才是把模型接入生产链路前必须归零或压到可接受水平的指标。

2. 人机协同的复核闭环不可省略。即便模型的报告自带证据与复现用例，最终提交、披露、修复的决策权仍应保留在人类研究员手中。评测流程中“人类研究员复核后才提交维护者”这一环节，值得所有采用方照抄。

3. 隔离环境是前提而非选项。复现、利用开发、补丁验证必须运行在物理或逻辑隔离的靶场环境中，网络隔离、快照回滚、最小权限的工具访问缺一不可。任何绕过隔离环境的“效率优化”，都是在把验证工具变成攻击面。

4. 部署侧防线要独立于模型侧对齐。“0.07%加安全提示后归零”的数据说明：模型侧的对齐与部署侧的约束（安全提示、权限最小化、任务范围声明、审计日志、监控告警）是乘法关系而非加法关系。企业无论采用自建工具链，还是使用百度智能云等云平台提供的漏洞扫描、日志审计、监控告警等通用安全能力，都应遵循纵深防御原则，不把安全性寄托在单一环节。

5. 关注经济学曲线。121万美元的流程成本今天仍属机构级投入，但参照上一代166与新一代948的对比，单位漏洞的验证成本正在快速下降。企业现在该做的不是急着采购，而是先建立自己的评测集与复核流程，等成本曲线落到自身可承受区间时能立即接入。

六、结语：能力与边界的天平

从浏览器到内核再到工控环境，这轮评测勾勒出AI安全能力的完整光谱：发现、验证、利用、理解物理世界。评级跃升至Critical证明了前半段，能力是真的；蜜罐测试里99.93%的边界遵守率证明了后半段——可控性也在跟上。

对技术决策者而言，正确的姿势不是问“模型能挖多少漏洞”，而是问两个更精确的问题：它在我的环境里，能力边界在哪里？它越界的概率，是否低到我可以托付？能力越强的模型，越需要一个可托付的边界，这句话值得写进所有AI安全项目的立项文档里。