大模型辅助漏洞挖掘，准入与审计缺一不可

一、为什么漏洞挖掘模型需要单独设计发布方式

软件漏洞的处理通常分三步。第一步是发现，即定位可能存在缺陷的代码路径。第二步是复现，即构造输入让缺陷稳定触发，确认它确实存在。第三步是利用，即评估缺陷能带来什么后果，例如普通用户权限被提升为管理员，或者沙箱边界被越过。

三步的技术难度和风险差别很大。发现和复现可以在防守方的测试环境中完成，直接服务于修补工作。利用阶段会产出可直接运行的攻击逻辑，一旦外泄，攻击门槛会明显下降。提权指主体从较低权限获得较高权限的过程。在多用户系统和容器环境中，这类漏洞的危害尤其大。

当模型在前两步的效率大幅提高时，它同时具备防守价值和攻击价值。设计者要解决的问题是：如何让能力被合法使用，同时让误用的代价足够高。

二、先分清能力、风险等级、权限与行为约束

讨论这类系统时，几个概念经常被混用，需要分开看。

能力指模型在某项任务上的实际表现，例如能否复现某类内存破坏缺陷，能否在代码库中找出输入校验缺失的位置。能力可以用基准任务、内部测试集和独立评测衡量。

风险等级是对能力水平的归类，用来决定发布方式的严格程度。同一风险等级下，不同任务的成绩可能差别很大，所以等级无法直接推出每项任务的具体结果。

权限指谁可以调用模型、通过什么渠道调用、能调用哪些功能。权限与能力是两件事。一个能力很强的模型，也可以只开放给少数经过核验的团队。

行为约束指模型执行任务时应遵守的规则，例如只操作授权范围内的目标，遇到不确定的情况先请示，如实报告未经验证的结论。

四者的关系如下表所示。

维度	回答的问题	典型控制手段	缺失控制时的后果
能力	模型能做什么	基准评测、独立测试	能力被高估或低估，发布决策出错
风险等级	能力有多大风险	分级、分类管理	分级过粗，低风险任务被过度限制，高风险任务被放行
权限	谁能用，通过什么方式用	身份核验、渠道隔离、配额	无关人员获得调用入口，能力可能被滥用
行为约束	使用过程中应当怎样做	训练约束、运行时确认、沙箱	模型越出授权范围操作目标

三、如何设计大模型漏洞挖掘的分层准入机制

准入控制可以分四层，依次设置。

1）身份核验。调用方必须是可识别的组织或个人，并通过资质审核。核验结果要与具体账号绑定，并定期复核。人员离职或项目结束后，应及时回收权限。

2）用途与范围声明。调用前，使用方需要登记目标资产、测试时间窗口和负责人。目标不在登记范围内的请求应直接拒绝，不能交由模型自行判断。使用方须持有目标资产所有者出具的合法授权书，复现与测试只能限定在授权书列明的资产内。依据《网络安全法》等相关法律法规，未经授权的渗透测试或漏洞利用可能承担法律责任。

3）渠道隔离。高风险能力不应出现在通用对话入口中。专用接口、独立控制台和受限环境更便于施加审计与限流。

4）逐步开放。先面向小范围试点用户开放，观察误用记录与产出质量，再根据结果扩大范围。

一次调用的交互可以按三方理解：

1. 客户端提交请求，附带认证令牌以及目标和能力参数。
2. 鉴权网关解析令牌，查询身份与授权范围，完成限流和范围判断，并在放行前写入审计中心。
3. 审计中心确认写入成功后，网关才放行请求。写入失败则直接拒绝。

下面的伪代码展示准入检查的基本顺序。它只演示策略判断流程，实际系统还需要接入身份服务、限流组件和审计存储，并处理超时与重试。

```
def authorize(request, caller, rate_limiter, audit_log):

# 入参类型校验，拒绝结构不完整或类型错误的请求
if not isinstance(request.target, str) or not isinstance(request.capability, str):
    return deny("请求参数格式错误")
# caller 由认证令牌解析得到，身份与授权以服务端查询结果为准
caller_record = identity_service.lookup(caller.id)
if caller_record is None or not caller_record.is_verified:
    return deny("调用方未