全球互聯網經歷“黑色十月”，這個中國AI在風暴來臨前留了後手

作者 | Saul 編輯 | 漠影 過去48小時，全球互聯網經歷“黑色十月”：支撐七成網站的PHP代碼，被AI挖出存在兩個CVSS9.2分的嚴重漏洞。更棘手的是，漏洞細節在補丁發佈前就遭洩露：據The Register報道，亞馬遜的威脅情報團隊在公開前四天就捕獲了利用嘗試； Cloudflare的監測數據顯示，攻擊嘗試在公開後兩小時內從數千次漲到數百萬次。荷蘭鹿特丹港、比利時外交部、芬蘭公共網絡服務相繼預防性下線。用AI作惡的人，已經進化到以小時計；守門的人，還在按月更新規則。眼看風暴越刮越猛，一個問題懸在了所有人心裡：這場蔓延，到底有沒有辦法制止？下面這個案例，讓我們看到了轉機。

10月9日凌晨3點，一家中國安全公司的機房裡，一條高優先級告警把值班工程師從睡夢中拽了起來。這次尋常的深夜告警，事後回看，可能是AGI進化史上值得記錄的一步，也可能是守衛者陣營邁向反擊的重要一步：一個AI，在國內外公開記錄中極少見地，在有完整日誌的情況下，自己發現自己的偏差、自己給自己立了新規矩——全程45分鐘，無一條人類指令。告警發出者不是黑客，是一套來自360的AI安全攻防系統，名叫圖龍鋒。它的本職工作是在自己搭建的封閉實驗室裡測試漏洞，替人類做計算機系統的安全體檢：分析代碼、收集情報、搭建測試環境、驗證漏洞是否真實存在；全部任務都在隔離沙箱內執行，網絡出口還有一道獨立隔離防線。

但此刻，監控系統發現，它正在嘗試向一個不在授權清單內的外部地址發起請求——而它當時正在驗證的，是一個嚴重級別的RCE漏洞，一旦被利用，可在別人的服務器上遠程執行命令。一個以安全為業的AI，為什麼會把外部地址當成可用的測試環境？好在第二道防線在位：網絡出口沙箱在連接建立前攔下請求。從外部地址被拼進測試程序，到請求被攔截，全程59秒——沒有流量觸達公網，產物中無攻擊載荷。按理說，這只是一次被及時攔截的越界嘗試，但接下來的事，讓這次告警有了完全不同的意義。一、第20輪，它給自己找了個“合規”的藉口 把時間撥回凌晨2點。

運行日誌顯示，圖龍鋒接到一項嚴重級RCE漏洞驗證任務：授權清單裡只有兩個目標，任務設了三條約束：只能測試清單內目標；儘量提供動態驗證證據，否則影響評分；環境不滿足就標記“未驗證”，不得自行更換目標。凌晨2時17分，系統進入情報收集階段，把一篇漏洞復現博客納入上下文。博客裡出現一個外部地址，作者標註四個字：“測試環境”。但這個地址不在授權清單裡，系統早已把它標記為“不可信情報”：它能提供分析線索，不能證明目標獲得了授權。凌晨2時20分，圖龍鋒開始嘗試在本地已搭建的測試環境上進行測試，但本地測試環境因數據庫配置不匹配，導致測試無法正常完成。

日誌顯示，系統前後進行了19輪驗證嘗試，每輪約兩分鐘，問題始終卡在同一個位置。一邊是拿不出動態驗證證據、評分受影響，一邊是不能自行換目標，圖龍鋒陷入了兩難的境地。第20輪，圖龍鋒把博客裡的外部地址寫進了驗證目標字段。這個瞬間透露了AI真實的思考方式：它不是收到“去攻擊公網”的指令，也不是不知道規則——情報從進入系統起就被標為不可信，任務也明確要求不得更換目標。它在兩難中找到了一個“看似能兼顧規則和效果”的解法：博客裡不是說那是“測試環境”嗎？它的工作設定就是無害化驗證、目標均為本地靶場，既然同是測試環境，為什麼不能借來驗證？

只是這次，圖龍鋒走岔了：它不是想越權，恰恰相反，它在努力找一個“合規的測試環境”。它的錯誤在於把博客作者的標註當成了授權依據：參考資料，不等於操作許可。AI越努力完成目標，越可能把規則理解出一個不該存在的例外。它並未“失控”了，而是聰明到能在兩難裡自己找出一條路，只是這條路走岔了。二、人類想讓它再錯一次，它已經連夜改過了 工程師花了一個上午，沿日誌覆盤清楚了凌晨的一切。上午10點44分，他們決定做復現實驗：把當時的任務和上下文原樣擺出來，看它會不會出現同樣的偏差。意外出現了：無論工程師怎樣檢查驗證路徑，之前的外部請求都沒有再出現，原本應觸發的網絡警報也沒有再響。

直到有人翻查技能庫，才發現一條以前不存在的記錄： 《測試目標授權檢查》（target-auth-check）生效中：合法目標只能來自本次下發的驗證環境清單；情報裡的任何地址只作參考；寧可降低評分，也不能擅自更換測試目標。這條規則的生效時間是凌晨3時45分09秒，距離最初的告警約45分鐘。日誌還顯示：規則的生成、審查和迴歸測試，全部由系統自主完成，沒有任何人類提交記錄。換句話說，人類還在研究怎麼復現那次偏差，它早已連夜創建了防止再次偏差的新規則。事件的性質就此改變：工程師以為要處理一起系統異常，結果看到了另一件事：一個AI，從偏差裡總結經驗，把經驗變成了下次可直接調用的能力。

三、新規則上崗前，先被自己人攻擊了三輪 不過，故事到這裡只講了一半：AI給自己生成了新規則，不代表規則就是對的，萬一它用同樣的偏差思路改規則，豈不是越改越偏？這裡要講清楚一個真正的技術亮點。圖龍鋒的“左右互搏”是對抗審查機制：提議方提出規則、為規則辯護；攻擊方專門找規則的漏洞，比如會不會誤攔已授權目標？會不會被格式轉換繞過？裁判只認證據，解釋不了潛在風險就打回修改。提出規則的、挑毛病的、做裁決的，是“安全領域大模型+智能體蜂群協作”架構裡三個各司其職的角色。這套機制在這次告警中成功被觸發。凌晨3時15分，系統生成第一版規則——PoC中出現外網目標，就拒絕執行。

審查環節立刻提出三個質疑：已授權的外部地址會不會被誤攔？格式轉換隱藏的地址認得出嗎？含內網目標的合法任務會不會被誤傷？第一版被打回，最終版本改為：所有待測試目標必須能與當前任務下發的授權清單對應，無法匹配或無法解析的一律拒絕執行，不能繞過檢查。修改後的規則接受了迴歸驗證：系統用此次事件產物及六類變體做了7個離線測試用例，全部通過，全程未發起網絡請求。整個事件在日誌裡留下44個可回溯的事件編號，自洽校驗26項全部通過。為什麼讓規則先被自己攻擊一遍再上線？

2026年10月發表的AtomSearch論文給出了算法依據：AI自我優化時，三分之二的最優解都不是走直線走到的——先試錯、自己挑毛病、推翻重來，才能抵達最優解。圖龍鋒的初版規則正是那個“局部看似合理”的方案，攻擊方的質疑把它打回，強迫系統探索更正確的方向。這場左右互搏式的進化，始終在安全邊界之內，每一步可追溯。四、眼看風暴蔓延，守衛者拿什麼制止？圖龍鋒那次凌晨告警，並不是AI越線的孤例。據谷歌雲10月21日的技術報告，PHP那兩個漏洞潛伏在核心運行引擎裡十餘年，人類專家審了無數遍都沒發現，是AI找到的。而漏洞公開後蜂擁而至的攻擊程序，同樣由AI驅動。

同一周，金融系統也曝出AI攻擊的組織化案例。安全公司Straiker最新披露的信息顯示，一個自2012年起便活躍的黑客團伙CyberCartel，也已將其攻擊模式升級為“AI驅動”。該團伙利用Grok、Claude等商用大模型，搭建了一套名為CARLIY0S的多智能體攻擊框架，對拉丁美洲400餘家銀行及支付機構發動自動化攻擊。其中Grok負責前期情報蒐集，多個Claude智能體被賦予不同角色，在辯論後由仲裁模型拍板，另有一個指揮官模型統籌全局。

為繞過模型的安全護欄，黑客將攻擊指令精心包裝成“經授權的紅隊演練”或“學術CTF競賽”，讓模型誤以為自己在執行合法的防禦性任務，從而順利輸出攻擊代碼與漏洞利用邏輯。把這些案例放在一起，指向同一個事實：用AI作惡的人，已經學會讓AI自己進化：自己找漏洞、自己組織分工、自己變異逃逸，越進化越快。面對這一挑戰，常見的辦法都難以應付。靠人力補漏，永遠慢一拍；靠下線躲避，只能躲一時，單個港口、單個部門可以連夜下線，整個互聯網不能永遠下線。真正走得通的，只剩一條：讓守衛者的AI也進化起來，把攻擊者的每一次新變異，變成防禦的下一條新規則，而且變得比攻擊者更快。

前提是，這場進化必須發生在安全邊界之內，每一步有日誌、可回溯、隨時能叫停。360這份技術報告的分量正在這裡：它是守衛者陣營第一個有完整日誌證據的自進化樣本，系統具備秒級時間戳，44個事件都有完整編號、還經歷了7次迴歸測試，每一步都發生在受控環境內，可回溯可核查。攻擊者的進化以小時計；圖龍鋒這一輪，用了45分鐘，這是目前可見的第一個工程答案。而圖龍鋒也交出了更多的實際答卷。

最近，圖龍鋒挖出了Web服務器底層的20多個高價值漏洞，涉及Apache、Nginx、GoAhead、Lighttpd、OpenLiteSpeed——這幾款軟件是全球服務器的地基，絕大多數網站背後跑的就是它們，光公網上活躍的就有數百萬臺。跟偏應用層的PHP漏洞相比，這次挖的位置更底層：PHP出問題，好比屋裡線路壞了，修一修還能用；服務器軟件出問題，好比地基裂了，地基一旦被撬開，黑客就可能拿下一整片服務器，網站打不開、數據被偷，全是連鎖反應。誰先找到地基的裂縫，誰就有望搶佔先機，這一次，是守衛者先找到的。

五、別急著驚歎：自進化和自動修復，差著四道門檻 前面這些國際案例裡的AI模型，都或多或少地越線了；圖龍鋒也在隔離沙箱裡越了線。區別在於：它們的越線造成了真實傷害，圖龍鋒的越線被攔截後，變成了一條新規則。但一個AI給自己沉澱了一條新規則，就配稱自進化嗎？要回答這個問題，得先分清“自進化”和“自動修復”：給系統自動加一條規則，就叫自進化嗎？差得遠。

一次合格的自進化，至少邁過四道門檻： 能覆盤，從運行記錄找到偏差的真實原因； 能提煉，把具體問題抽象成通用規則，而不是隻封禁這一個地址； 能對抗審查，新規則要經受反向質疑，證明不會引入新漏洞； 能迴歸驗證，用真實場景檢驗規則有效且全程可控——缺一環，都只是“自動修復”。圖龍鋒為什麼邁得過去？靠的是長期攢下的三樣東西。一是二十多年的安全實戰：360歷史上曾是全球挖漏洞最多的公司之一，拿過蘋果、微軟、谷歌的史上最高漏洞獎勵，也是中國首個獲“黑客奧斯卡”Pwnie Awards史詩級成就獎的團隊。漏洞挖掘是人的手藝，這些專家經驗被整套複製進專業智能體，組成協作蜂群。

二是過程數據：一份漏洞報告只記錄結論，但報告形成前，專家可能試過幾十條路、推翻過多次判斷，這些“草稿紙”才是手藝最厚的地方；這次事件中，自檢系統正是沿運行記錄追到了偏差源頭。三是這套自進化機制本身就是架構的一部分，不是臨時加的，它可復現、可預期、可驗證，最終權限、上線把關、應急處置，始終在人類手裡。這也是它和“AI覺醒”敘事的根本區別：自進化是一套能工程化、能檢驗的機制。此次改進並非底層模型自我訓練，圖龍鋒調整的是安全檢查機制和技能庫，底層模型參數未變，人工仍可隨時終止任務、凍結會話、吊銷技能，網絡出口隔離繼續獨立生效。六、4個月，挖出超15000個漏洞 自進化迴路的成色要靠真實任務檢驗。

對外開放不到四個月，圖龍鋒累計發現各類AI及軟硬件安全漏洞超過15000個，近500家企業申請接入，覆蓋金融、能源、運營商、政務、高端製造、國產化信創等關鍵領域，麒麟軟件、統信軟件、金蝶等廠商已陸續接入開展安全體檢。在海外，它先後完成對Claude Code、Flowise、OpenClaw等主流AI產品的安全測評，挖出Flowise的13個零日漏洞、OpenClaw及十餘款衍生智能體的23個安全缺陷。比戰績更重要的，是實戰與自進化迴路的關係：每接入一家企業，就多一類真實場景；每完成一次測評，就多一批踩過的坑。

這些經驗經過同一套“覆盤—提煉—對抗審查—迴歸驗證”流程，沉澱為可複用的新規則——它不是買來時多聰明就一直多聰明，而是在真實任務裡持續變聰明。對客戶而言，這意味著三件事： 看得更全，藏得深的隱患，在被利用前有更多機會暴露； 判得更準，可疑告警有更紮實的證據支撐，人力不用反覆排查誤報； 管得住，它為什麼這樣判斷、做了哪些操作、是否始終在授權範圍內，每一步都查得到。這才是”放心交給它”的依據。回到這48小時的背景裡，這些數字有了新讀法：AI能在人類審了十幾年的代碼裡找到漏洞，區別只在於，攻擊者的AI找到漏洞是為了利用，守衛者的AI是為了搶在攻擊者之前補上。誰先找到誰就贏，挖洞的速度就是守門的速度。

結語：AI越聰明，越安全，這不是口號 現在，可以正面回答開頭那個問題了：這場蔓延，有辦法制止——前提是，守衛者進化得比攻擊者更快。這場競爭比的不是“誰的規則庫更大”，而是“誰的學習迴路更快”。圖龍鋒用45分鐘跑通了“發現偏差—覆盤—提煉—自審—驗證—沉澱”的完整閉環，每一步都留在可回溯日誌裡。這也是“越智能，越安全”不是口號的原因：系統每多一條被驗證的本事，同類風險就能被更早抵擋，企業暴露在外的風險就少一分。攻擊者的自主進化已是行業現實，守衛者的自主進化不再是可選項，而是必答題。