李祺，北京邮电大学网络空间安全学院教授
随着大模型技术从通用对话向网络安全垂域深度演进，以OpenAI GPT-5.5-Cyber为代表的安全专用模型，以及微软Security Copilot等漏洞分析辅助系统，已在这一进程中展现出技术潜力。然而，安全模型本身面临对抗攻击、数据泄露与能力武器化等新型风险，若缺乏有效规制，可能使“漏洞分析工具”蜕变为“漏洞生成助手”。因此，亟须从技术防护、制度规范与生态协同等多层面入手，构建适应AI时代漏洞治理的安全框架，在释放技术潜能的同时守住安全底线。
一、技术跃升：安全专用模型重构漏洞分析全链条
漏洞分析的传统工作流通常分为发现、验证与修复三个环节，各环节长期受困于规则覆盖有限、告警噪声干扰与人工经验依赖等效率“瓶颈”，整体效能已难以匹配现代软件安全的需求。大模型的介入，从智能发现、自动验证到智能修复三个关键环节，系统性重构漏洞分析全链条。
（一）智能发现：从规则匹配到语义推理
传统静态应用程序安全测试（SAST）工具依赖预置规则库与污点传播跟踪，其本质是基于已知代码模式的匹配机制，难以识别需要跨函数、跨文件甚至跨模块逻辑推断的复杂漏洞。规则驱动范式在面对现代软件架构复杂性时存在结构性局限，当调用链跨越十余个模块时，人工预先定义的规则模式几乎无法覆盖所有潜在的风险路径。
大模型技术的核心优势在于其对代码语义的理解能力。华中科技大学服务计算技术与系统教育部重点实验室金海教授团队于2024年在计算语言学协会年会（ACL）发表论文，提出的VulLLM框架通过多任务指令微调引入漏洞定位与漏洞解释两个辅助任务，利用GPT-4生成漏洞根因的文本解释，引导模型深入理解漏洞模式而非过拟合于表面特征。实验结果表明，VulLLM在六个大型数据集上的F1值相较基线模型UniXcoder提升了8%，在四个分布外数据集上F1值提升达8.58%，展现了显著优于传统方法的泛化能力与鲁棒性。
更值得关注的是前沿模型在零样本漏洞识别方面的进展。Mythos将代码分析能力嵌入开发工作流，能够通过上下文推理追踪数据流、理解架构意图、识别组件间交互，同时发现传统规则工具难以覆盖的漏洞类型。这一进展预示着漏洞发现正从“已知规则库的持续扩充”向“基于模型推理的主动识别”跃迁，有望打破“先有攻击、后有规则”的被动防御困局。
（二）自动验证：从告警洪流到可运营情报
安全团队面临的另一长期痛点在于高误报导致的“告警疲劳”。2024年MITRE ATT&CK评估首次引入误报测试，要求参评厂商在检测准确率与误报生成之间取得平衡，避免客户遭受“告警疲劳”。大模型在此环节的赋能价值集中于上下文聚合与风险优先级排序。
微软Security Copilot在开源引导程序审计中验证了AI辅助漏洞验证的工业级可行性。2025年，微软利用Copilot辅助人工审计GRUB2、U-Boot、Barebox三款开源引导程序，成功挖掘约20个真实CVE（如GRUB2中的CVE-2025-0678等），相关漏洞已提交至项目维护方修复。Copilot通过自动关联上下文、评估可利用性，协助团队从大量告警中筛选真实威胁，有效降低误报。值得关注的是其“跨文件泛化”能力——先在GRUB2中发现整数溢出缺陷，随后在其他GitHub项目中搜索相似代码模式，在U-Boot与Barebox中验证出9个同源漏洞。尽管大模型输出仍需一定的人工复核，但其在告警筛选与验证中的表现，已将大量原始告警有效转化为可运营情报。
（三）智能修复：从补丁建议到自动修补
修复环节是大模型当前最具实践潜力，同时也最具争议的应用场景。2025年8月，美国国防高级研究计划局（DARPA）举办的人工智能网络挑战赛（AIxCC）决赛为此提供了系统性验证。比赛在5400万行代码中预设了漏洞挑战，参赛队伍的自动化系统需同时完成漏洞识别、验证与补丁生成。赛后经复核确认，决赛实际包含63项合成漏洞挑战，参赛系统共发现54个并修补了其中43个（基于赛前70项口径计算，发现率与修复率分别为77%和61%），平均补丁生成时间约为45分钟。此外，参赛系统在比赛过程中额外发现了18个真实非合成漏洞（其中6个来自C/C++代码库、12个来自Java代码库），并为其中11个提供了补丁，相关漏洞已被负责任地披露给开源项目维护者。
从竞赛设计来看，参赛系统面对的是具有明确检测目标的预置漏洞，真实环境中的漏洞发现往往缺乏类似的先验信息锚点。该竞赛的核心价值在于验证了AI辅助自动化漏洞发现与修复的技术可行性，但将其转化为可规模化部署的生产级工具仍需持续探索。
上述实践验证了AI辅助漏洞分析与修复的技术可行性，但模型输出的可靠性仍存在不确定性，且当分析模型自身成为攻击目标时，其防御优势可能反向被攻击者利用，成为新的突破口。
二、风险伴生：AI赋能漏洞分析的新型安全挑战
AI赋能漏洞分析在带来能力跃迁的同时，其自身脆弱性与能力滥用所引发的系统性风险更应引起高度重视。当大模型从被动响应查询转向具备自主规划与执行能力的智能体形态时，其漏洞分析能力本身即可能成为攻击者手中的武器，这意味着AI在网络攻击中的角色已从“辅助工具”向“自主主体”演进。
（一）模型自身的对抗脆弱性与后门风险
漏洞分析模型自身的安全缺陷构成了第一重风险。对抗样本攻击在理论上利用了深度学习模型在高维空间中的决策边界不连续性——输入代码中语义保持的微小扰动（如增加无效注释、替换等价表达式）虽不改变代码的实际功能，却可能使模型的注意力机制发生偏移，将本应标记为恶意的代码判定为正常。攻击者有可能借此构造对模型不可见的恶意代码，系统性地规避AI检测。传统签名匹配工具的检测逻辑是确定性的、可审计的，而大模型的黑盒决策特性使其容易受到对抗样本攻击，生成更为便利，攻击者可通过查询反馈迭代优化扰动直至绕过检测。目前，此类攻击主要在学术研究层面得到验证，其在实际部署环境中的威胁程度尚待进一步观察。
后门攻击则在训练阶段埋下隐患。攻击者在训练数据中注入特定触发模式（如某个罕见变量命名风格），并将该模式与标签翻转相关联。模型在常规测试中表现正常，仅在遇到该触发模式时出现系统性误判。针对此类攻击的防御研究已有进展，但现有方法尚未在更广泛的部署条件下得到充分验证。
上述两种攻击的共同本质在于：模型的“记忆”机制使其难以区分正常特征与恶意后门，且当前主流的验证集评估无法覆盖此类条件触发型缺陷。差分隐私训练等防御手段虽可提供一定的理论保证，但在实际部署中往往因模型性能的显著下降而难以推广。
（二）训练数据泄露与知识逆向还原风险
大模型的参数化记忆机制构成了第二重风险。与传统数据库的显式存储方式不同，大模型将训练数据的分布特征以隐式方式编码于千亿级参数之中，这一机制虽赋予了模型强大的泛化能力，却也使得原始数据片段可在特定查询条件下被逐字还原。若训练语料中包含私有代码仓库或未公开漏洞库，攻击者可通过精心构造的查询诱导模型复现原始代码片段。
2025年ICML发表的研究提出的主动推理框架（Zhou et al., From Passive to Active Reasoning: Can Large Language Models Ask the Right Questions under Incomplete Information?, ICML 2025），揭示了在信息不完备的场景下（如医疗诊断中医生需通过问诊获取症状信息），模型可以通过多轮交互主动提问以获取关键信息。映射到漏洞分析场景，攻击者理论上可通过多轮低敏感度查询的统计聚合推断出部分非公开信息，此类聚合式泄露难以通过单次输出审查有效防范。
成员推理攻击进一步揭示了隐私泄露的隐蔽维度，攻击者的目标并非还原训练样本内容，而是推断特定样本是否参与过模型训练。对私有代码库而言，某段代码“是否曾出现在训练数据中”这一二元判定本身即构成敏感信息，它可能暴露企业正在开发的软件模块、尚未公开的安全漏洞或内部架构设计。这意味着漏洞分析模型一旦部署，其自身的输出即成为信息泄露的通道，且这种泄露难以通过简单的输出过滤彻底阻断。
（三）漏洞分析能力的恶意武器化风险
大模型漏洞分析能力的普及化构成了第三重风险，也是最直接的安全威胁。漏洞分析模型本质上是“双用途工具”，其发现漏洞的能力与利用漏洞的能力共享同一技术基础。当模型被赋予代码理解、漏洞识别与补丁生成能力时，这些能力稍加改造即可逆向转化为自动化的漏洞利用生成工具。
这一风险的根源在于漏洞分析与漏洞利用在技术路径上的同构性。分析模型需要理解漏洞的触发条件、数据流路径与内存布局，而这些信息恰恰是构造可靠Exploit所必需的前提。当模型具备自主推理与多步规划能力后，即可在无人干预的情况下完成从漏洞发现到利用攻击的完整闭环。更具威胁性的是，这种能力正从“单点突破”向“工具化、规模化”演进，攻击者通过串联多个开源模型即可构建从CVE公告解读到可运行Exploit自动生成的漏洞武器化流水线。
行业实测表明，当前大模型在漏洞挖掘与利用开发中的自主能力仍相当有限。2025年7月，Forescout Vedere Labs发布的对50款大模型的评估显示：商业闭源模型（如ChatGPT、Gemini、Copilot）在漏洞研究与利用开发任务中表现最佳，但即便在这一类别中，也仅有3个模型成功生成了可用的漏洞利用代码，且需要专家用户提供大量引导；开源模型（16款）在所有任务中表现稍弱，甚至不适合用于基础的漏洞研究；地下模型（23款）虽经恶意微调，但受限于访问权限、输出质量与上下文长度等问题，实际可用性有限。这意味着，AI赋能的漏洞武器化尚未实现全自动化，当前阶段，攻击者仍难以完全依赖大模型独立完成从漏洞发现到利用开发的完整闭环。但从能力迭代速度来看，攻击者的技术门槛正在持续降低，需提前建立防范机制。
上述三重风险并非孤立存在，模型脆弱性使攻击者可主动致盲防御工具；知识泄露使私有资产暴露于逆向风险；武器化则直接降低了攻击者的技术门槛。三者叠加，令AI赋能漏洞分析从“防御利器”滑向“攻击助推器”的风险愈加严峻，亟须从技术、制度与生态三个层面同步构建治理屏障，而非单点修补。
三、治理重构：走向“AI安全共生”的制度与技术路径
面对上述机遇与风险，单纯的“技术乐观”或“风险封堵”均不可取。需要从技术防护、制度规范与生态协同三个层面构建互为支撑的治理框架，将AI安全共生要求内嵌于模型全生命周期，实现“研发即合规、部署即审计、交互即防护”的治理目标（如图1所示）。
图1 AI漏洞挖掘治理总体框架
（一）技术防护：隐私增强、模型安全与“以模治模”的协同部署
技术防护是治理框架的基础层，其核心在于将隐私保护与安全防御能力嵌入模型从训练到推理的全流程（如图2所示）。
图2 技术防护治理框架
在训练阶段，差分隐私训练通过向梯度中添加校准噪声，从数学上切断模型输出与特定训练样本之间的强关联。对于处理高度敏感代码的模型，可引入联邦学习架构，使各机构在不共享原始代码的前提下协同训练检测模型，从源头上降低集中式数据汇聚带来的泄露风险。但需注意的是，联邦学习中的梯度交换仍可能面临梯度反转等新型攻击，需与差分隐私等机制配合使用。针对模型自身的对抗脆弱性，应建立持续对抗训练流程。同时，模型上线部署前需首先通过对抗鲁棒性测试与后门检测等评测要求，以此来压缩对抗样本与触发器攻击的生存空间。
在部署阶段，构建输入—输出双向过滤机制至关重要。输入侧部署提示词安全网关，识别并拦截包含越狱模板、对抗性构造等恶意诱导的查询；输出侧应用模型水印与逐字匹配检测，当模型尝试输出超过一定长度的原样代码片段时，自动告警并阻断。此外，部署环节还需引入成员推理攻击检测手段，防止暴露未公开的代码资产或漏洞信息。公开资料显示，我国已有多个安全厂商推出针对大模型的输入输出安全防护产品，提供提示词过滤、输出检测等基础防护能力。
在运行阶段，将“自动建议须经人工复核确认”由工程操作规程上升为合规义务。对模型批量产出的未公开漏洞，应按照国家及相关部门关于网络产品安全漏洞发现、报告、修补和发布等制度要求，将其统一报送至工业和信息化部网络安全威胁和漏洞信息共享平台，同时同步通报至国家网络与信息安全信息通报中心、国家计算机网络应急技术处理协调中心。国家信息安全漏洞共享平台与国家信息安全漏洞库是漏洞信息收集、验证、预警发布及应急处置的核心渠道。漏洞信息仅限经授权的漏洞处置人员接触完整细节，严格遵循“先修复、后公开”原则，防止漏洞情报在修复完成前泄露。
在“以模治模”方面，应将面向AI安全检测的技术研发列为重点攻关方向。一是面向AI生成恶意代码与自动化利用的检测模型研发，通过对模型输出进行二次判定，识别并拦截AI生成的漏洞利用代码、恶意载荷等武器化输出。二是推动生成代码数字水印、模型输出指纹等溯源技术研发，使AI参与的攻击行为可识别、可追溯、可追责，并形成“输出—检测—拦截—溯源”的完整反制链条。
（二）制度规范：全生命周期审计与责任分层
制度规范是治理框架的保障层，其核心在于将安全要求转化为可执行、可追溯、可问责的制度安排。
中国人工智能安全治理已基本形成涵盖法律法规、政策标准、行业指引与备案实践的四层治理体系。《生成式人工智能服务管理暂行办法》确立了算法备案与大模型备案的准入机制；《人工智能安全治理框架》2.0版进一步提出了五级风险分级标准（低、一般、较大、重大、特别重大），为分类分级监管提供了方法论依据。
在分级框架基础上，对面向漏洞分析用途的大模型可探索差异化的安全认证路径：用于关键信息基础设施代码审计的高风险模型，建议须通过国家级安全测评机构的对抗鲁棒性测试、数据记忆泄露测试及后门扫描；用于普通商业软件检测的中风险模型，可要求提交训练数据谱系报告与第三方审计摘要；仅用于开源社区或教育目的的低风险模型，可实行备案登记制。
责任分层是制度设计的另一关键维度。模型开发者对训练数据的合法性与模型固有安全缺陷承担前置责任；模型部署者对使用场景中的合理警示义务承担责任；终端使用者对最终修复决策承担人工最终判断责任。这一分层旨在避免AI黑盒导致的责任逃逸，也避免因技术不确定性而过度归责于任何一方。
（三）生态协同：开源治理、国际话语权与多方共治
生态协同是治理框架的扩展层，其核心在于构建政府监管、企业履责、技术社群自律与第三方服务托底的责任网络。
当前，漏洞分析模型高度依赖开源代码语料进行训练与微调，这使得开源治理无法脱离开源生态独立推进。对此，提出以下三项建议：一是推动建立开源代码语料的可信标注与溯源机制，对纳入模型训练的高危代码样本实施分级审查制度；二是在具备漏洞分析能力的开源模型中引入“仅限安全研究用途”的附加条款，并探索技术层面的使用追踪手段；三是依托国家漏洞库平台，建立开源模型安全事件的快速响应通道。
评测基准是生态协同的技术锚点。腾讯朱雀实验室发布的AI-Infra-Guard框架首次提出了“层—范式匹配”的安全评估理论，将AI攻击面解构为基础设施层、协议/工具层、Agent行为层与模型层四个层级，并为每一层匹配了最合适的检测范式。这一分层评估思路为建立面向漏洞分析模型的公开评测基准库提供了方法论参考，可针对对抗鲁棒性、记忆泄露风险、修复正确率等核心指标，形成“以评促建”的良性竞争格局。
国际治理话语权是生态协同的战略延伸。当前，美欧在AI安全治理领域正加速构建规则体系。建议依托世界互联网大会、联合国网络安全开放式工作组等多边平台，提出“AI漏洞治理国际准则”的倡议，重点围绕“安全模型出口管制”“漏洞披露国际协同”“AI武器化红线”等议题制定规则框架，以制度性话语权保障我国在AI安全治理国际规则制定中的参与度与影响力。
保险机制是生态协同的风险兜底方向之一。参考其他AI应用领域的做法，可探索由专业保险机构为AI安全工具提供独立风险评估与责任保障的方法，从而形成“技术+金融”的双重信任机制，覆盖由自动化分析工具误判或遗漏所导致的安全事件损失，同时倒逼模型提供方持续提升产品可靠性。
技术内嵌提供了可落地的防护手段，制度规范划定了各方权责边界与合规基线，生态协同则扩展了治理的覆盖面与可持续性。三者并行推进、相互校验，才能构成适应AI时代漏洞治理的动态闭环。
四、结 语
大模型正在重构漏洞分析与安全防御的技术范式，但模型自身的对抗脆弱性、训练数据泄露风险与能力武器化，使AI赋能安全的过程面临攻防角色转换的系统性风险。面对这一挑战，技术防护、制度规范与生态协同三者不可偏废，只有并行推进、持续校验，才能在技术创新与安全保障之间实现动态平衡。应把安全基因内嵌于模型开发管线，将制度规范前移至部署许可环节，将生态协作扩展为信息共享与风险共担的共治格局，使赋能与规制相辅相成，走出一条可持续发展的治理之路。
（本文刊登于《中国信息安全》杂志2026年第8期）
声明：本文来自中国信息安全，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
