从数月到分钟级：智能体代码自动挖洞终结人工低效时代

[导读]

长期以来，漏洞挖掘高度依赖顶尖安全专家经验，面对千万行乃至亿万行级别的复杂代码，人工审计往往耗时数月、成本高昂，且难以应对日趋 AI 化的网络攻击，攻防失衡问题日益突出。360自主研发的漏洞挖掘智能体实现重大突破，依托多智能体协同完成从代码扫描、漏洞定位、验证到报告生成的全流程自动化，将传统数月的人工挖洞缩短至分钟级，已批量发现 Windows、Office 等多款基础软件中潜伏多年的高危漏洞，重塑网络安全防御底层逻辑。

长期以来，漏洞挖掘都是网络安全行业最依赖顶尖专家经验的工作之一。

面对操作系统、办公软件、数据库、AI平台等动辄千万行、亿万行级别的复杂代码，安全研究人员往往需要耗费数月甚至更长时间，才能在庞杂的调用链和业务逻辑中定位一枚高价值漏洞。

但随着大模型和智能体技术进入安全攻防一线，这一传统模式正在被重塑。漏洞挖掘不再只是少数顶尖白帽的“手工绝活”，而正在演进为一种可自动分析、持续验证、规模化运行的新型安全生产力。

近日，360自主研发的漏洞挖掘智能体，在全自动代码扫描和批量检测中，接连发现潜伏多年的Windows内核提权漏洞和Office远程代码执行漏洞，并获得微软安全响应中心官方致谢。这意味着，AI智能体已经不再停留在辅助分析阶段，而是开始进入复杂漏洞发现的核心环节。

借此时机，又值AI大热且AI重塑安全的关口，我们不妨深挖一番当前国内外AI安全态势以及360在AI安全上的最新研究成果。

传统漏洞挖掘：人力触顶，攻防失衡

回望过去数十年，漏洞挖掘一直是被视为安全行业“皇冠上的明珠”的能力，但也长期受限于人力、经验和成本。

一方面，高价值漏洞往往隐藏在复杂系统的深层逻辑中。尤其是内核、办公软件、数据库、AI平台等基础软件，代码规模庞大、调用链复杂、边界条件众多，仅靠人工逐行审计，很难做到持续、全面、深入覆盖。

另一方面，漏洞挖掘成本长期居高不下。传统模式下，挖掘一枚内核级、平台级或高危0day漏洞，往往需要顶尖安全团队持续攻坚数月，投入大量人力、时间和技术资源。对于多数政企单位和关键行业客户来说，常态化开展深度漏洞挖掘和代码审计，并不是一件容易承受的事情。

更关键的是，网络攻击本身也在AI化。自动化扫描、批量探测、漏洞利用链生成等能力，正在降低攻击门槛、提升攻击效率。攻击者只需要找到一个突破口，防守者却要守住所有入口。随着AI能力进入攻击端，这种攻防不对称正在进一步放大。

因此，漏洞挖掘能力也必须从人工经验驱动，走向AI辅助、自动化验证和规模化运行。

实战验证：智能体分钟级锁定潜伏高危漏洞

360率先捕捉到了这种趋势，并且基于自身攻防积累，推出了面向实战的漏洞挖掘智能体体系，并在多个场景中落地应用。

从能力路径来看，该体系以多智能体协同为核心，覆盖从代码接入、攻击面分析，到漏洞定位、验证，再到报告生成的完整链路，实现了全流程无干预自动化：

01.多智能体协同：构建端到端全自动挖洞闭环

这套系统不再需要人工逐行审查、不再依赖专家经验判断，而是以AI算力为支撑，对海量代码进行全自动扫描、批量检测。

在这套体系中，观察者智能体统一调度全局任务，自适应路由引擎根据项目画像动态编排任务流程；

攻击面分析智能体快速锁定潜在风险入口，规则引擎精准锚定危险锚点；

AI代码审计模块以大模型跨文件推理穿透复杂数据流，静态分析与动态渗透双线并发验证；

漏洞验证智能体自动生成漏洞利用代码，并在隔离沙箱环境中完成复现确认；

最后由报告生成智能体输出包含基本信息、攻击面分析、触发路径、污点传播路径、PoC代码、影响评估等完整内容的标准化审计报告。

所有智能体通过共享状态实时协作，每一个发现都可追溯、可复现、可交付，构建起从代码接入到报告交付的全链路自动化工程体系。

02.实战验证：批量捕获潜伏多年的全球级高危漏洞

正如前文所提，360自主研发的这套漏洞挖掘智能体，正是凭借这样的全流程闭环能力，接连捕获潜伏五年之久的Windows内核提权漏洞（CVE-2026-24293），以及潜伏长达八年、被评定为最高危级别的Office远程代码执行漏洞（CVE-2026-32190）。

360漏洞挖掘智能体自动化生成Windows内核提权漏洞（CVE-2026-24293）报告

其中Windows内核提权漏洞一旦被利用，攻击者就能获取系统最高权限，实现数据窃取甚至系统瘫痪；

Office远程代码执行漏洞属于CWE-416释放后重用类型，CVSS评分高达8.4分，用户只需打开一份普通的Word、PPT文档，就可能被远程控制。

两大漏洞直接牵动全球超十亿用户设备安全，从个人电脑到政企办公系统，再到关键基础设施，无一不在其影响范围之内。

截至目前，这套漏洞挖掘智能体已经批量挖掘出近千个漏洞，其中国家信息安全漏洞库（CNNVD）、国家信息安全漏洞共享平台（CNVD）及相关厂商确认的高危漏洞超过五十项，覆盖Windows、Office、国产操作系统、AI编程工具、OpenClaw等主流AI平台、安卓系统、邮件服务器、物联网设备、OA系统等核心领域，多项漏洞都是全球首次公开发现。

这也是我国首次公开披露，由智能体通过代码扫描自动挖掘、批量规模化发现基础软件核心漏洞的能力成果。

与传统模糊测试、静态分析等依赖预定义规则的技术不同，360漏洞挖掘智能体实现了从规则驱动到智能思维驱动的关键跨越，其可精准识别逻辑缺陷、权限绕过、协议风险等深层隐患，把安全专家沉淀多年的攻防直觉与实战经验，转化为可沉淀、可复用、可持续进化的数字化能力，让复杂漏洞挖掘从个体经验驱动转向体系化能力运行。

曾经人工需要数月才能完成的漏洞定位，如今在智能体的运算下，只需要短短几分钟就能精准锁定。

AI工业化挖洞：重构行业底层逻辑

360漏挖智能体的落地，带来的远不止效率的提升，更意味着漏洞挖掘正在从依赖少数专家经验，走向AI驱动的自动化、规模化和工程化阶段。从这一维度来看，未来全球漏洞挖掘领域将迎来三大不可逆的颠覆性趋势。

首先是漏洞挖掘彻底完成范式革命，从稀缺专家手艺迈向AI工业化、规模化量产时代。

曾经依赖极少数专家的手工作坊式生产，正式转向AI主导的工业化、标准化、规模化量产，漏洞从偶发性的稀缺资源，变成可以批量化持续产出的安全能力，彻底打破了人力带来的边界限制，安全能力第一次可以通过模型实现无边界复制，行业正式从“人力驱动”迈入“AI生产力驱动”的新阶段。

其次是漏洞挖掘成本实现断崖式颠覆性下降，自动化批量挖掘成为全球安全刚需常态。

传统高价值漏洞发现成本通常需要数十万美元甚至更高，而智能体通过自动扫描、批量挖掘可在极短时间内完成类似规模的任务，让漏洞挖掘成本无限趋近于零。

这一变革不仅彻底重构了网络安全行业的成本结构，更让大规模、常态化、全覆盖式漏洞挖掘从难以落地的行业愿景，变为所有政企、关键基础设施领域均可落地的安全刚需，彻底破解了传统漏洞挖掘“成本高、覆盖窄、效率低”的行业痛点。

最后是AI实现端到端全流程全自动挖掘，彻底摆脱人工依赖，构建无干预自主攻防闭环。

从海量代码全域扫描、深层漏洞智能识别、漏洞有效性自主验证，到复杂漏洞利用链自动构建、漏洞报告自动生成，全流程无需任何人工介入。

这不仅突破了人类生理极限与认知边界，更能实现7×24小时不间断、无疲劳、无死角漏洞挖掘，让网络安全防御从被动响应、人工补救，转向主动预判、自动处置的全新模式。

不仅如此，AI工业化挖洞还带来人力价值的深刻重构，大量机械重复的排查、验证、复现工作交由智能体完成，安全专家得以从繁琐劳动中解放，聚焦攻防研究、规则设计、风险研判等高价值工作，实现安全人力与AI能力的最优协同。

更具深远意义的是，网络攻防的形态被彻底改写，传统安全体系正趋向于全面失效，漏洞挖掘智能体不再是一项可选的技术，而是成为下一代网络安全的核心基础设施。

关键变化：能力结构与竞争维度重构

随着相关技术逐步落地，安全行业能力结构也在发生变化。

一类企业具备模型能力，但缺乏攻防经验，难以深入复杂漏洞场景；

一类企业具备传统安全能力，但在智能化体系建设上仍处于过渡阶段；

也有部分厂商停留在概念层面，缺乏可验证的实战能力。

相比之下，将模型能力与攻防经验、工程体系结合的路径，正在成为主流方向。360的实践，本质上也是将长期攻防经验与模型能力进行融合的一种探索。

在全球安全行业眼中，美国Anthropic公司推出的Mythos模型，一度被奉为AI漏洞挖掘的技术标杆，其能自主构建完整攻击链与利用代码，单个漏洞审计成本可降至千元以内，彻底颠覆传统漏洞经济模型。

在国际评价方面，苏黎世联邦理工学院安全研究中心研究员发布研究，认为360漏洞挖掘智能体能力已接近Anthropic旗下Claude Mythos公开宣称的能力规模。相关研究发布后，彭博社、SecurityWeek、联合早报、Economic Times等多家媒体进行了跟进报道，并将360漏洞挖掘智能体视为Claude Mythos的重要竞争者。

而360的漏挖智能体，不仅更早投入实战应用，更在核心能力上实现了超越，走出了一条完全适配中国数字安全需求的自主道路。

01.360漏挖智能体与Mythos的全方位对比

从技术路径来看，Mythos依托纯代码理解与长上下文推理寻找漏洞，本质是“读代码猜漏洞”，缺乏真实攻防场景的沉淀，也没有经过国家级攻防对抗的反复检验；

而360是漏洞库、攻防知识库、红队经验与工具链的深度融合，是“顶级白帽思维+AI算力”双驱动，懂攻防逻辑、懂漏洞机理、懂攻击链，靠实战打赢。

从场景适配来看，Mythos深度贴合西方主流系统，对国产软硬件、中文环境、国内关键基础设施存在天然盲区，难以精准服务于中国的数字安全防御；

而360漏挖智能体原生适配中国数字生态，实现了全域覆盖。

从能力管控来看，Mythos面向市场开放测试，存在能力扩散的风险；

而360始终以防御优先，定向服务国家关键领域，通过严格的安全管控确保核心安全能力可控不外溢。

比如360漏洞挖掘智能体已成功挖掘OpenClaw等主流AI平台的高危与中危漏洞，直击授权逻辑、数据校验、资源管控等核心风险点，落地“以模治模”“用AI监管AI”的安全理念，补齐AI时代智能体自身的安全短板，这一能力是Mythos所不具备的。

这种从技术路径到场景适配，再到安全管控的全方位差异，让360漏挖智能体成为真正意义上的“中国方案”，而非海外技术的简单复刻，故而拥有了与全球顶尖技术同台竞技的底气。

02.漏洞成为国家战略资源，筑牢数字安全国门

在全球漏洞挖掘能力逐渐纳入国家安全框架、美国牵头组建Glasswing联盟构建阵营化优势的背景下，漏洞早已不是简单的技术问题，而是关乎国家数字主权的战略资源。

漏洞可以直接影响能源系统、金融系统、通信系统、政务系统等关键基础设施，甚至可以被用于国家级网络威慑能力构建，谁掌握漏洞主导权，谁就掌握数字世界话语权。

美国发起的Project Glasswing安全合作计划，联合了AWS、Apple、Microsoft、Google等约40家头部科技与安全机构，投入上亿美元额度优先用于防御端漏洞修复，试图打造“防守优势窗口”，但该联盟具有明显阵营属性，将中国等国家排除在外，进一步凸显自主可控安全能力的紧迫性。

360集团创始人周鸿祎对此有着清晰的判断：面对全球日趋激烈的AI安全竞赛，漏洞是网络战的核心战略资产，必须牢牢掌握在自己手中，而漏洞挖掘智能体未来有望从根源上消灭漏洞，真正做到御敌于国门之外。

实际上，周鸿祎早年就明确提出“漏洞不出国”的理念，坚决停止海外相关合作，坚定走自主挖洞、自主上报、自主防御的道路，这份坚持，最终化作360漏挖智能体的硬核实力。

如今，中国不再依赖海外技术，拥有了自主可控、国际领先的漏洞挖掘能力，能够牢牢守住漏洞这一核心战略资源，杜绝漏洞外流带来的安全风险。

360漏挖智能体始终坚持所有高价值漏洞第一时间上报国家漏洞库，定向为能源、金融、政务、军工等关键领域提供安全服务，用技术实力筑起坚不可摧的数字安全防线。

在软件定义世界、AI重构一切的时代，漏洞无处不在、风险无时不有。眼下，360是极少数能够将模型能力与真实攻防体系结合，并实现规模化漏洞发现能力落地的安全厂商之一。

AI安全之路如漫漫长夜，总要有人敢于高举火把，引领未知之途，追寻明日曙光。