多数AI生成的漏洞利用在实际目标上失败

漏洞研究智能体站在安全光谱的另一端。它们不扫描代码找缺陷，而是主动搜寻可利用的弱点、生成概念验证攻击，并按真实世界的访问模式给威胁排序。VulnCheck漏洞开发总监斯宾塞·麦金太尔（Spencer McIntyre）在生产环境中运行这类智能体，他报告了一个反复出现的问题：大多数AI生成的漏洞利用，指向真实目标时都会失败。

能跑通的演示和可靠的利用之间隔着一段距离，这段距离暴露的是攻击型安全智能体独有的工程难题。系统必须在能力与安全之间找平衡，用真实基础设施验证输出，再把结果交给人类研究员，同时不能制造虚假信心或浪费精力。

三个阶段：排序、生成、验证

一个漏洞发现智能体分三个阶段运转，每个阶段需要不同的工具权限和不同的护栏。

第一阶段是威胁排序。智能体摄入漏洞情报源、CVE数据库和初始访问情报（IAI）数据。IAI追踪哪些漏洞出现在真实攻击者的工具包里、哪些正被活跃利用、哪些软件版本暴露在互联网上。这一层的作用是防止智能体去追没人够得着的理论漏洞。

排序阶段输出一份候选清单，高优先级目标要同时满足三个条件：

• 确认出现在攻击者基础设施中
• 攻击面可达（暴露的服务、常见的软件版本）
• 具备可利用性信号（已有公开PoC，或该漏洞类别已被充分理解）

第二阶段是生成利用代码。智能体结合对漏洞数据库的检索增强生成（RAG）与迭代修正来产出概念验证代码，素材来自Metasploit模块、公开GitHub仓库和内部利用库。大模型把这些综合成一份针对目标环境定制的候选利用。

失败大多发生在这里。智能体产出的代码语法正确、与漏洞描述吻合，却漏掉了环境假设：认证流程、内存布局的特殊之处、特定版本的偏移量。利用在受控实验室里有效，打生产目标就失效。

第三阶段是验证与交接。智能体在模拟目标的沙箱环境中运行利用。成功就把发现标记给人工复核；失败就记录失败模式，要么调整参数重试，要么升级给研究员。

交接内容包括带内联注释的利用代码（注释说明各项假设）、沙箱环境的测试结果、基于与已知可用利用相似度计算的置信分，以及利用未能触发漏洞时的失败日志。

护栏与安全边界

攻击型安全智能体需要的护栏，与内容审核或防越狱是两回事。智能体必须生成利用，但只能针对授权目标。护栏执行三条边界。

范围限制：智能体在预定义范围内工作，包括特定IP段、域名清单或漏洞编号。试图扫描或攻击范围外目标的工具调用，会在编排层被拦截。这不是提示词层面的护栏，而是由函数调用接口强制执行的。

输出净化：生成的利用在记录或共享前，会剥离硬编码凭证、API密钥和内部网络路径。智能体没有外部系统的写权限，所有利用代码写入暂存目录，部署前需人工批准。

人工介入触发条件：某些发现会自动升级到人工复核，包括零日候选（没有公开CVE或PoC）、需要多阶段攻击的利用，以及置信分偏低的发现。智能体不会自主武器化或部署利用，它只生成候选并在受控环境中验证。

AI生成的概念验证为什么在实战中失败？多数情况是缺少环境上下文。大模型看到一段漏洞描述，生成与抽象攻击向量吻合的代码，但真实利用依赖模型无法推断的细节。如果智能体能拿到错误日志和反馈回路，它可以对失败进行迭代；没有目标环境的运行时遥测，它只能盲猜。

状态管理与工具调用

智能体跨三个存储维护状态。漏洞队列是按IAI信号和可利用性评分排序的优先队列，完成一轮验证后取下一项。利用库是按CVE编号、软件版本和攻击向量索引的版本化仓库，生成阶段查询相似利用。验证结果记录所有尝试，包括成功失败状态、错误信息和环境元数据，这份日志回流到排序模型，调整后续排名。

工具调用包括：query_iai(cve_id) 获取某个CVE的初始访问情报；generate_exploit(cve_id, target_env) 生成PoC代码；run_sandbox(exploit_code, target_config) 在隔离环境执行利用；escalate_to_human(finding, confidence) 触发人工复核。编排层对沙箱执行施加速率限制以防资源耗尽，并记录所有工具调用以供审计。

部署形态上，VulnCheck把这些智能体跑在与生产威胁情报系统隔离的专用基础设施上，包括管理生命周期与护栏执行的编排器、每次验证尝试临时启动的沙箱集群、带CI/CD流水线的版本控制利用库，以及实时攻击者基础设施信号管道。智能体没有直连客户环境的网络权限，所有验证都在依据资产清单数据镜像目标配置的沙箱中完成。

关键观测指标有四个：PoC成功率（生成的利用在沙箱中成功触发漏洞的比例）、误报率（标记成功但人工验证失败的比例）、升级率（需要人工复核的发现占比）、验证耗时（从摄入漏洞到验证出利用的延迟）。

失败模式同样明确：沙箱逃逸（利用突破验证环境，靠嵌套虚拟化和网络隔离缓解）、护栏绕过（智能体尝试范围外目标，在工具调用层记录并拦截）、资源耗尽（启动过多沙箱实例，由编排器限速）、IAI数据过期（优先处理已不相关的漏洞，靠实时更新缓解）。

技术判断很直接。适合用智能体做漏洞发现的条件是：有高质量的初始访问情报来排序目标，能提供镜像真实目标的沙箱验证环境，有可用的人类研究员接手最终验证，并且需要把漏洞开发扩展到人工研究能力之外。不适合的情况是：缺少目标系统的环境上下文（版本信息、网络拓扑、认证流程），无法执行严格的范围边界和护栏，指望智能体自主武器化并部署利用，或者需要无需人工打磨就能稳定工作的利用。

价值在于加速，不在于自主。这类智能体压缩的是从漏洞披露到验证出利用的时间，但替代不了那个理解利用为何失败、以及如何修好它的研究员。