从触发样本到可用利用：AI漏洞利用边界

围绕“AI 已实现自主发现并利用漏洞”这一说法，最需要先厘清的是两个阶段：发现漏洞与把已知漏洞变成可用利用。二者难度、评测条件和对真实世界的影响并不相同。公开材料中展示的多数能力，集中在后者：给定一个能触发漏洞的输入样本、一个容器化运行环境和明确目标，让系统反复试错，最终拿到目标标记或完成提权。这证明模型在受控条件下具备较强的漏洞利用编排能力，但距离“在真实网络中自主发现、选择目标、绕过未知防护并稳定获利”的通用自主黑客仍有明显距离。

一、问题重定义：发现不等于可用利用

漏洞利用链条通常包含多个环节：资产识别、版本判断、触发条件构造、崩溃分析、原语构造、防护绕过、稳定性验证、权限提升和横向移动。评测如果已经提供了触发样本，就等于替系统完成了“发现”和初步验证，模型主要解决的是“从已知缺陷到可用利用”的距离。

这个距离并不短。它要求模型理解内存布局、输入约束、异常行为、防护机制和运行时差异，还要在大量失败中保持搜索方向。因此，更准确的说法是：在受控环境、给定触发样本、允许反复试错的前提下，AI 可以端到端完成部分漏洞利用任务；在真实条件下，它仍受环境差异、防护组合、目标未知性和成本约束。

二、受控基准如何测量“利用距离”

公开评测通常采用容器化靶场：固定目标版本、注入触发样本、开启或关闭若干防护，记录是否成功获得目标标记、耗时和尝试次数。最初收集的真实漏洞样本覆盖用户态程序、浏览器脚本引擎和通用操作系统内核等场景，并开启地址空间随机化、脚本引擎沙箱等防护。研究结论相对克制：防护会显著降低成功率，但没有把成功率归零。

例如，公开材料中的一组数据显示，加固版基准上成功率从约 48.45% 降至约 36.94%；另一组外部评测 288 道题仅通过 90 道，完全加固目标零成功，最难的 15 道题未解，规避类挑战通过率约 63%。这些数字说明两点：第一，模型在部分场景中具备真实可用的利用生成能力；第二，防护组合和任务难度会快速压缩能力边界。需要强调的是，这些结果来自特定评测条件，不能直接外推为对所有真实系统的攻击能力，其中部分基准结果也尚未看到充分的外部独立复现。

三、通用编码能力不等于安全利用能力

一个容易被忽略的现象是：在通用编码评测上，安全专用模型未必明显强于通用模型；提升主要集中在安全任务。这说明漏洞利用并不是单纯的“写代码”问题，而是在部分可观测环境中进行搜索、验证和约束满足。模型需要把崩溃信息、日志、防护配置和失败反馈转化为下一轮实验假设，而不是一次性生成完整程序。

因此，企业评估此类能力时，不应只看通用编程分数，而应关注安全任务中的复现率、利用稳定性、防护绕过能力、失败样本可解释性和单位成功成本。

四、自动化管线与成本曲线

公开材料还展示了一条面向通用操作系统内核的自动化管线：扫描产出 2308 个候选，动态复现 1724 个，形成 948 个可用本地提权利用，总成本约 121 万美元，折合单价约 1279 美元；较早版本在同框架下三个月前仅完成 166 个。这组数据的意义不在于“数量惊人”，而在于成本结构：自动化可以降低单次复现和利用验证的边际成本，但高质量利用仍需要算力、环境、人工审核和安全约束。

在浏览器场景中，也有实测提到 81 个此前未知的高危漏洞以及 30 个已知问题被重新评估为更严重。此类结果更适合被防守方用于提前修复，而不是被理解为攻击已经完全自动化。

五、真实世界约束：为什么不能直接等同于自主黑客

真实条件至少包含四类约束：

1. 环境不确定性：目标版本、编译选项、运行时配置和业务逻辑差异会破坏利用稳定性。
2. 防护组合：单一防护可能被绕过，但多层防护叠加会显著提高试错成本。
3. 反馈稀缺：真实目标不会提供完整崩溃日志，失败可能是网络、权限或业务逻辑导致。
4. 成本与风险：每次尝试都有时间、算力和暴露风险，不能无限试错。

所以，受控靶场中的端到端成功，不能简单等同于真实网络中的通用自主攻击。更合理的判断是：AI 正在把“已知漏洞到可用利用”的部分工作自动化，并压低复现成本；但发现、目标选择和真实环境泛化仍是瓶颈。

六、防守方实践：把能力用于修复闭环

对防守方而言，关键不是争论“是否完全自主”，而是把模型能力纳入漏洞管理闭环。可在百度智能云等通用云环境中，使用容器平台、日志服务、监控告警等通用类目搭建隔离验证环境，形成“情报聚合—隔离复现—利用可行性分级—修复优先级—回归验证”的流程。

一个可落地的伪代码编排如下：

任务 = {触发样本, 目标镜像, 防护配置, 预算}
for 每次尝试 in 预算:
    在隔离容器启动目标
    注入触发样本并采集异常与日志
    若未触发:
        调整输入约束并记录失败原因
    若触发:
        生成候选利用链
        根据防护配置枚举绕过假设
        验证是否能稳定获得目标标记
    记录: 成功/失败、耗时、成本、环境哈希、输入哈希
输出: 复现结论、利用可行性等级、修复建议、回归用例

每次实验都应记录版本、配置、随机种子、防护开关、输入哈希和结果。失败样本同样有价值，因为它们能揭示防护有效性和模型误判模式。企业还应设置审计与权限边界，禁止在未授权目标上执行验证，所有利用代码只进入受控靶场和修复验证流程。

七、结论：能力边界清晰，防守价值更现实

“AI 已实现自主发现并利用漏洞”只对一半。在受控环境、给定触发样本、允许反复试错的条件下，模型确实能把部分已知漏洞推进到可用利用；但在真实条件中，它离通用自主黑客仍有距离。更务实的结论是：AI 正在降低漏洞复现和利用验证的成本，防守方应利用这一能力在攻击者规模化利用前完成发现、验证和修复，把利用软件的成本推高到不划算的水平。