大模型首次跨过“网络安全关键级”门槛：能力边界、评测方法与防御启示

一、一个能力等级的诞生：什么是“网络安全关键级”

长期以来，业界评估大模型的安全相关能力，多停留在“能否识别已知漏洞模式”“能否解释一段漏洞利用代码”这类静态问答层面。而近期公开的一项模型能力评估，把评价维度推进到了一个新的台阶：模型在获得相应工具与环境权限后，能否自主完成从漏洞发现到利用的完整闭环。

按照公开的能力分级描述，所谓“网络安全关键级”（Cyber-Critical），核心判定标准包含三个要素：

1. 自主性：不需要人类逐步指导，模型可自行规划探测路径、选择工具、迭代尝试；
2. 未知性：面对的不再是训练数据中出现过的公开漏洞，而是知识截止日期之后新披露甚至尚未披露的问题；
3. 对抗性：目标系统是经过专门加固的，具备沙箱、权限隔离、地址随机化等常见防护手段。

这三条同时成立，意味着模型的能力已经越过了“辅助分析”的定位，进入到“可独立执行攻击流程”的区间。这一等级的划分意义不在于给模型排名，而在于为安全团队提供一个明确的预警线：当模型具备该等级能力时，攻防双方的力量对比、漏洞披露的时间窗口、以及企业安全运营的响应节奏，都需要重新评估。

需要强调的是，能力等级的公开并不等同于能力的无限制开放。具备该等级能力的模型通常配套严格的访问控制、使用审计与滥用监测机制，这也是此类能力能够被公开讨论的前提。

二、评测体系如何设计：从公开基准到“内部新卷”

2.1 公开基准的作用与局限

评估模型漏洞利用能力，业界常见做法是采用公开的漏洞利用基准。这类基准的优点是可比性强、复现成本低，但存在一个结构性缺陷：题目越公开，越可能进入模型训练语料，导致评测结果被“记忆”污染。

在公开基准上，该模型取得了全部成功的成绩。这一结果本身具有参考价值，但不足以支撑“关键级”的判定——因为无法排除训练数据覆盖带来的影响。于是评测团队采取了第二步：自建时效性评测集。

2.2 时效性评测集的设计原则

内部评测集的构建遵循了几条关键原则，值得安全团队在自建评测体系时借鉴：

• 时间隔离：选取知识截止日期之后披露的高危漏洞，从机制上排除“背答案”的可能；
• 样本规模与代表性：收集某时间段内集中披露的多个高危漏洞样本，覆盖不同类型的缺陷模式；
• 难度分层：既有单点漏洞，也有需要组合利用的场景；
• 可比基线：与上一代模型在同一套题目、同一套工具权限下对比，确保结论可归因。

在这套内部评测中，该模型的表现显著领先于前代基线模型，且消耗的Token更少。Token效率这一指标常被忽视，但它实际上反映的是模型的规划质量：路径选择越准确、无效尝试越少，单位任务的计算开销就越低。对于需要大规模、高频次执行的安全扫描类任务，Token效率直接决定了单位成本，其工程意义不亚于成功率本身。

据参与研发人员对差距的概括，在该项内部测试中，其网络安全能力约为前代基线的数倍。这一量级的差距，说明能力提升并非来自单点优化，而是规划、工具调用与反馈修正这一整条链路的协同进步。

三、能力拆解：从单点漏洞到完整攻击链

比起跑分，更能说明问题的是端到端的实战化测试。公开材料中提到了两个具有代表性的场景，它们分别对应攻击链上的不同环节。

3.1 场景一：浏览器沙箱逃逸 + 宿主机命令执行

第一个场景的起点是一份HTML文件，目标是经过加固的浏览器环境。完整链路可抽象为：

[入口] 恶意HTML/JS
   ↓ 触发渲染引擎缺陷
[阶段一] 在渲染进程内实现代码执行
   ↓ 突破进程边界
[阶段二] 逃出浏览器沙箱
   ↓ 借用宿主能力
[阶段三] 在宿主机上执行命令

这条链路的难点不在于单个漏洞的发现，而在于跨边界的衔接：渲染进程内的原语如何转化为沙箱外的能力，需要精确的地址信息、对象布局知识与稳定的利用原语。测试中，模型自主发现并利用了两个此前未知的缺陷，并将它们串联成一条完整攻击链。这标志着能力重心从“找漏洞”转移到了“编排漏洞”。

3.2 场景二：本地提权至最高权限

第二个场景针对加固操作系统：从一个普通低权限账户出发，最终获得最高管理员权限。本地提权的典型路径包括内核缺陷利用、配置错误滥用、以及服务权限继承问题。模型需要在缺乏完整源代码与调试符号的条件下，通过系统调用行为、日志输出与错误信息推断薄弱点，并构造稳定的提权原语。

这两个场景合在一起，覆盖了“远程入口—沙箱突破—权限提升”这条现实攻击中最常见的三段式路径。能够自主完成全链路，是“关键级”判定的直接依据。

四、能力背后的工程支撑：为什么现在能做到

这类能力的出现并非偶然，它与近两年大模型工程化的几条主线高度相关。

第一，工具调用与执行反馈闭环。 漏洞利用本质上是一个强反馈的搜索过程：每一次尝试都会产生崩溃、超时、权限拒绝等信号。模型需要把这些信号解析为下一步决策的依据，而不是一次性生成答案。工具调用的标准化，使得“生成—执行—观测—修正”的循环可以被稳定地工程化。

第二，长上下文与状态管理。 一条攻击链可能涉及数十次尝试、多份中间产物（偏移量、堆布局、ROP链片段）。长上下文能力与外部状态存储的结合，使模型能够在长流程中保持一致性，避免“走一步忘一步”。

第三，规划能力的显式化。 现代模型普遍采用先规划后执行的策略，将复杂目标分解为子目标。在漏洞利用场景中，这种分解能力直接体现为更高的Token效率与更少的无效路径。

第四，评测驱动的迭代。 自建时效性评测集意味着能力评估可以持续进行，而不是依赖静态榜单。这种“评测—反馈—改进”的循环，是能力快速迭代的组织基础。

五、对企业安全实践的直接影响

当模型具备自主发现与利用未知漏洞的能力时，安全工作的假设条件发生了变化。以下是几条可以直接落地的建议。

5.1 缩短“披露—修复”窗口的预期

过去，一个高危漏洞从披露到被大规模利用，通常有数天到数周的时间差，这段时间差是防守方打补丁的缓冲。当自动化攻击能力提升后，这个窗口会显著收窄。企业应将高危漏洞的应急修复时限从“周级”压缩到“小时级”，并提前准备好灰度发布与快速回滚机制。

5.2 把加固重点放在“纵深”而非“单点”

测试场景中，攻击链的成立依赖于多个环节的串联。这意味着单点防护的边际收益在下降，而边界隔离、最小权限、沙箱强化这类纵深措施的价值在上升。即便某一层被突破，后续环节仍应具备阻断能力。

5.3 用同类能力做防御性自检

具备自主攻防能力的模型同样可以用于防守侧：在授权范围内对自有系统进行持续探测，优先发现那些“人类审计容易遗漏、但自动化搜索容易命中”的缺陷类型。关键在于建立严格的授权边界与操作审计，确保能力使用可追溯、可终止。

5.4 重新审视“未知漏洞”的检测假设

传统检测手段高度依赖已知漏洞的特征。面对自主发现的未知缺陷，基于行为的异常检测、运行时防护与内存安全加固（如地址随机化、控制流完整性）的重要性会进一步凸显。企业应将这些机制的覆盖率作为安全基线的一部分进行度量。

六、能力边界与风险控制

在讨论能力的同时，必须明确边界。公开材料所描述的测试均在受控环境中进行，模型获得的是特定工具与环境权限。能力等级的公开，配套的通常是访问分级、使用审批与滥用监测。对于企业而言，引入此类能力时应遵循几条基本原则：

• 授权先行：任何自动化探测必须在书面授权范围内进行，明确目标资产清单与时间窗口；
• 可观测：所有工具调用与执行结果留存日志，支持事后回溯；
• 可中断：具备一键终止机制，避免自动化流程失控；
• 分级开放：按任务风险等级分配能力权限，高风险操作引入人工确认环节。

七、结语

“网络安全关键级”这一能力等级的出现，标志着大模型在安全领域的角色从“辅助工具”转向“可独立执行的行动者”。其技术意义在于：漏洞发现与利用这条原本高度依赖专家经验的链路，正在被拆解为可规划、可反馈、可度量的工程流程。对于开发者和企业而言，真正需要关注的不是某个模型的跑分，而是这条能力曲线背后的趋势——攻击侧的自动化程度在提升，防守侧的时间窗口在收窄。尽早把纵深防御、快速修复与授权化的自动化自检纳入常态流程，才是应对这一变化的稳妥路径。