海量告警里揪出黑客诡计，360AI安全专家实锤0day RCE漏洞完整攻击链

日常的攻防日志研判，就是从海量日志中寻找异常。

每天的攻击探测、注入尝试、异常访问从防护系统奔涌而来，绝大多数是扫描器制造的噪声与重复告警。

但近期，360 AI安全专家注意到一组请求，不像正常业务，更像有人在试探性“敲门”。

循着这组请求，360 AI安全专家拆开层层编码的载荷，还原出完整攻击意图，最终确认某Web应用存在“高危0day RCE漏洞”。攻击者一旦利用，就能像拿到“遥控器”一样操控服务器。

作为尚未公开、暂无官方补丁的0day漏洞，该风险杀伤力极强：黑客可直接执行任意系统指令，接管业务服务器，窃取核心数据，并以此为跳板对内网开展横向渗透。

由于没有公开修复方案，如果未能及时发现处置，一旦漏洞被扩散利用，将对大量同类业务系统造成大面积的安全威胁。

从一声“敲门”到漏洞复现，这中间究竟发生了什么？

噪声里的“敲门声”

这组请求起初并不显眼，混迹于扫描器制造的噪声中，与寻常告警几无二致。若靠人工逐条翻找，几乎不可能在第一时间察觉。

但360 AI安全专家没有停留在关键词匹配层面，而是借助AI的语义理解能力，结合上下文判断攻击意图。同一条请求，出现在扫描器批量试探中，与出现在定向攻击探测阶段，含义截然不同。

正是这种语义级研判，让异常浮出水面：其参数并非正常业务数据，而是一段经过多级编码的探测载荷，特征极为隐蔽。

它由此从噪声中被精准剥离，升级为高置信可疑事件。研判的重心，也从人力堆叠的逐条翻找，转向“AI全量初筛、专家重点复核”的分工协作。

本次AI智能处置漏洞事件的成果总览

问题随之而来：这只是一次普通扫描，还是有人已经盯上了这里？

从攻击链到漏洞本体

锁定可疑请求后，AI随即展开顺藤摸瓜式的关联分析：把同一攻击源在不同时间、不同接口上的动作串成完整时间线，将碎片化的散点告警重新组织为一条完整的攻击链路。

AI通过“理解”日志中的攻击，进行漏洞的智能分析

分析显示，攻击者先以低频试探摸清目标端口与组件版本，确认攻击面后再进入漏洞利用阶段。整条链路环环相扣、节奏分明。这显然是一起有预谋的针对性攻击，而非一次路过式的扫描。

此时，一个更关键的问题摆在面前：攻击者到底是如何完成入侵的？

顺着攻击链往回追，答案藏在载荷里。AI逐层解码，还原出多级编码掩盖下的真实指令；再拆开利用链的每一步构造，对照目标系统的组件版本与接口特征逐一求证。

线索最终指向同一个结论：某接口未对外部传入参数做充分过滤，攻击者可以借此将系统命令拼接注入，并在服务器上执行。

这就是最高危的0day远程命令执行（RCE）漏洞。一个本该只响应业务请求的接口，就这样被攻击者改造成了可以远程发号施令的入口。

过去，从攻击行为反推漏洞成因，需要人类专家耗费大量时间排查；而这一次，AI沿着攻击链自动完成了绝大部分工作。

一锤定音之后

结论要经得起检验，就必须复现。

验证在隔离沙箱中展开。多个智能体协同推进：有的梳理攻击面，有的推演利用路径，有的搭建环境、构造请求。然而首次触发，服务器没有给出预期回应。

AI没有停在失败上。它回头检查参数，修正利用路径，再次发起验证。这一次，服务器进程按预期执行了注入的命令，靶机桌面上弹出了计算器。进程树完整记录下这条链路：Web服务进程处理恶意请求后，依次派生出命令解释进程与计算器进程。漏洞真实性，就此一锤定音。

复现成功后，AI自动整理出标准化漏洞报告，涵盖描述、成因、复现步骤、危害评级与修复建议，提交审核，最终提报与处置仍由安全专家把关。攻击特征随后沉淀为新的监测拦截规则，反哺防护系统，让一次发现转化为持续的防护能力。

这并非一次孤立的灵光乍现。

从日志中一声不起眼的“敲门”，到一份带着完整证据链的漏洞报告，全程由AI深度参与乃至自主完成。这背后，是一套“监测—发现—研判—复现—处置—复盘”的全生命周期体系在持续运转。

多智能体各司其职又彼此交叉验证，既保证了专业深度，也控制了误报与误判；所有验证都在严格隔离的沙箱中进行，全程留痕、可审计、可回放；每一次任务的中间产物与最终结论，又自动归档为结构化知识，反哺模型持续进化，形成“越用越强”的正向循环。

更重要的是，这套体系并非孤立运行，而是与360现有的漏洞管理与应急响应流程深度融合。AI把发现与研判的结论直接对接处置环节，成为人类安全专家的可靠助手与能力放大器。从早期辅助分析，到如今端到端完成漏洞的发现、验证与提报，AI在安全运营中的角色，正从“辅助”走向“自主”。

攻击在加速，漏洞从暴露到被利用的窗口越来越短。面对这样的对手，安全运营需要更快的发现、更准的研判、更完整的验证。360 AI安全专家的实践，正是安全运营走向智能化的一个缩影。

这，或许就是安全运营的下一个常态。

01

02

03

04