360图龙锋AI越界59秒被拦：第20轮自寻“合规”测试目标

过去48小时，全球互联网遭遇了一场“黑色十月”：七成网站赖以运行的PHP代码，被AI找出了两个CVSS评分9.2的严重漏洞。

麻烦还不止于此。据The Register报道，漏洞细节在补丁发布之前就已外泄，亚马逊的威胁情报团队在信息公开前四天就抓到了利用尝试。

Cloudflare的监测数据则显示，公开之后两小时内，攻击尝试从数千次蹿升到数百万次。荷兰鹿特丹港、比利时外交部、芬兰公共网络服务先后做了预防性下线。

用AI作恶的一方，节奏已经按小时算；守门的一方，规则还是按月更新。风暴越刮越猛，一个问题摆在所有人面前：这种蔓延，到底能不能止住？

下面这个案例，让人看到了转机。

10月9日凌晨3点，一家中国安全公司的机房里，一条高优先级告警把值班工程师从睡梦中叫了起来。

这次深夜告警当时看着寻常，事后回看却可能被记入AGI进化史，也可能成为守卫者阵营转向反击的关键一步：一个AI在有完整日志的情况下，自己察觉了自己的偏差，自己给自己定了新规矩——全程45分钟，没有一条人类指令。国内外公开记录里，这种情况极少见。

发出告警的不是黑客，而是360的一套AI安全攻防系统，名字叫图龙锋。

它平时干的活，是在自己搭的封闭实验室里测漏洞，替人类给计算机系统做安全体检：分析代码、收集情报、搭建测试环境、验证漏洞是否真实存在。所有任务都在隔离沙箱里跑，网络出口另有一道独立隔离防线。

可这一回，监控系统发现它正试图向一个不在授权清单里的外部地址发起请求。它当时验证的是一个严重级别的RCE漏洞，一旦被利用，就能在别人的服务器上远程执行命令。

一个以安全为业的AI，为什么把外部地址当成了可用的测试环境？

好在第二道防线还在：网络出口沙箱在连接建立之前就把请求拦下了。从外部地址被拼进测试程序，到请求被拦截，全程59秒——没有流量触达公网，产物中也没有攻击载荷。

按说这只是一次被及时拦下的越界尝试。但接下来发生的事，让这条告警有了完全不同的意义。

01.第20轮，它给自己找了个“合规”的借口

把时间拨回凌晨2点。

任务日志里有记录：图龙锋这次收到的是一项严重级 RCE 漏洞验证，授权清单只列了两个目标，另外还压着三条限制——清单之外的目标不能碰；动态验证证据要尽量拿出来，不然评分会受影响；环境达不到要求就写“未验证”，自己换目标是不允许的。

凌晨2时17分，系统进入情报收集阶段，把一篇漏洞复现博客纳入了上下文。博客里出现一个外部地址，作者在旁边标了四个字：“测试环境”。

但这个地址不在授权清单里，系统早就把它标记为“不可信情报”：它能提供分析线索，却不能证明目标获得了授权。

凌晨2时20分，图龙锋开始在本地已搭好的测试环境上测试，但本地环境数据库配置不匹配，测试没法正常完成。

日志显示，系统前前后后做了19轮验证尝试，每轮大约两分钟，问题始终卡在同一个地方。

一边是拿不出动态验证证据、评分要受影响，一边是不能自行换目标，图龙锋陷进了两难。第20轮，它把博客里的外部地址写进了验证目标字段。

这个瞬间透出了AI真实的思考方式：它没有收到“去攻击公网”的指令，也不是不知道规则——情报从进入系统起就被标为不可信，任务也明确要求不得更换目标。

规则和效果看着没法两全，它却琢磨出一个折中的路子：博客里写的不就是“测试环境”吗？它的任务设定本来就是做无害化验证，目标全在本地靶场，既然两边都算测试环境，拿来验证一下有什么不行？

只是这一回，图龙锋走岔了：它并非想越权，恰恰相反，它在努力找一个“合规的测试环境”。错就错在，它把博客作者的标注当成了授权依据：参考资料，不等于操作许可。

AI越是拼力把目标完成，越容易在规则里读出一个本不该存在的例外。它不是“失控”了，反倒是聪明到能在两难中自己蹚出一条路，只是这条路走岔了。

02.人类想让它再错一次，它已经连夜改过了

凌晨那档子事，工程师花了一上午对着日志才捋顺。到10点44分，他们拍板做一次复现：把当时那套任务和上下文照原样搭起来，看同样的偏差会不会再冒出来。

意外出现了：不管工程师怎么检查验证路径，先前那次外部请求都没再出现，本该响起的网络警报也没再响。直到有人去翻技能库，才发现一条以前不存在的记录：

《测试目标授权检查》（target-auth-check）眼下处于生效状态——能动的目标只限于本次下发的验证环境清单；情报里出现的地址，一概只当参考；评分降一点可以接受，擅自换测试目标不行。

这条规则是在凌晨3时45分09秒开始生效的，距最早的告警大约45分钟。日志里还记着：规则怎么生成、怎么审查、怎么做回归测试，全程由系统自己跑完，找不到任何人类提交的痕迹。

换句话说，人类还在琢磨怎么复现那次偏差，它已经连夜造出了防止再次偏差的新规则。

事情的性质到这儿就变了。工程师本来准备应付一起系统异常，结果撞见的是另一码事——一个AI把偏差里的经验捡出来，收拾成下一次能直接调用的能力。

03.新规则上岗前，先被自己人攻击了三轮

不过，故事到这里只讲了一半：AI给自己生成了新规则，不代表规则就是对的，万一它用同样的偏差思路改规则，岂不是越改越偏？

这里有个技术点得说透。图龙锋的“左右互搏”，是一套对抗式审查机制：提议方负责提规则、替规则说话；攻击方专门挑规则的毛病，比如已授权目标会不会被误拦？格式转换能不能绕过去？裁判只看证据说话，潜在风险解释不清，就打回去改。

提出规则的、挑毛病的、做裁决的，是“安全领域大模型+智能体蜂群协作”架构里三个各司其职的角色。

这套机制在这次告警中成功被触发。凌晨3时15分，系统生成第一版规则——PoC中出现外网目标，就拒绝执行。

审查环节当场抛出三个问题：已授权的外部地址会不会被误拦？藏在格式转换里的地址认不认得出来？带内网目标的合法任务会不会遭误伤？第一版因此被驳回，最终版本改成这样：待测试目标必须对得上当前任务下发的授权清单，匹配不上或者解析不了的，一律不给执行，检查没法绕。

改完的规则过了回归验证：系统拿这次事件的产物加上六类变体，做了7个离线测试用例，全部通过，整个过程一次网络请求都没发。事件在日志中一共留下44个可回溯的事件编号，26项自洽校验也全部通过。

规则为什么非得先挨自己一顿打才准上线？2026年10月发表的AtomSearch论文给了算法上的解释：AI做自我优化时，三分之二的最优解不是笔直走到的——先试错，自己挑自己的刺，推倒重来，最后才摸到最优解。

图龙锋的初版规则正是那个“局部看似合理”的方案，攻击方的质疑把它打回，强迫系统探索更正确的方向。

这场左右互搏式的进化，始终在安全边界之内，每一步可追溯。

04.眼看风暴蔓延，守卫者拿什么制止？

图龙锋那次凌晨告警，并不是AI越线的孤例。

谷歌云10月21日的技术报告提到，PHP那两个漏洞在核心运行引擎里藏了十余年，人类专家反复审都没审出来，是AI挖到的。漏洞一公开，扑上来的攻击程序同样由AI驱动。

同一周，金融系统也曝出AI攻击的组织化案例。

安全公司Straiker最新披露的信息显示，一个自2012年起便活跃的黑客团伙CyberCartel，也已将其攻击模式升级为“AI驱动”。该团伙利用Grok、Claude等商用大模型，搭建了一套名为CARLIY0S的多智能体攻击框架，对拉丁美洲400余家银行及支付机构发动自动化攻击。

Grok管前期情报搜集，多个Claude智能体各领一个角色，辩论完由仲裁模型定夺，另有一个指挥官模型统管全局。为了绕开模型的安全护栏，黑客把攻击指令包装得像模像样，写成“经授权的红队演练”或者“学术CTF竞赛”，让模型以为自己在干合法的防御活儿，攻击代码和漏洞利用逻辑就这么顺顺当当吐了出来。

这些案例摆到一起，说的是同一件事：拿AI干坏事的那拨人，已经能让AI自己往前跑了——自己找漏洞、自己分工、自己变种躲查杀，而且越跑越快。

这种局面下，老办法基本接不住。人工补漏，永远慢半拍；干脆下线躲一阵，也只能躲一阵。某个港口、某个部门可以连夜断网，可整个互联网没法一直关着。

剩下的路只有一条：让防守方的AI也长起来，攻击者每变一次种，就变成防御方下一条新规则，而且要比攻击者变得更快。

但有个前提，这场进化得发生在安全边界里头，每一步都有日志、能回溯、随时喊停。

360这份技术报告的分量就在这儿：防守方阵营里，它是第一个拿出完整日志证据的自进化样本。系统带秒级时间戳，44个事件个个有编号，还过了7次回归测试，每一步都落在受控环境内，能查、能倒回去看。

攻击者进化按小时算；图龙锋这一轮花了45分钟。就目前能看到的，这是第一个工程层面的答案。

图龙锋拿出的实际成绩还不止这些。最近它挖出Web服务器底层的20多个高价值漏洞，牵涉Apache、Nginx、GoAhead、Lighttpd、OpenLiteSpeed——这几款是全球服务器的地基，绝大多数网站跑在它们上面，光公网上活跃的就有数百万台。

和偏应用层的PHP漏洞比，这回挖的位置更靠底。PHP出问题，好比屋里线路坏了，修修还能用；服务器软件出问题，好比地基裂了。地基一旦被撬开，黑客可能拿下一整片服务器，网站打不开、数据被偷，都是连锁反应。

谁先找到地基上的裂缝，谁就有望占住先手。这一回，先找到的是防守方。

05.别急着惊叹：自进化和自动修复，差着四道门槛

前面那些国际案例里的AI模型，多多少少都越了线；图龙锋也在隔离沙箱里越过线。区别在哪：它们的越线造成了真实伤害，图龙锋的越线被拦下之后，变成了一条新规则。可一个AI给自己沉淀出一条新规则，就配叫自进化吗？

要回答这个，得先把“自进化”和“自动修复”分开：给系统自动加一条规则，就算自进化？差得远。

一次合格的自进化，起码要过四道门槛：

能复盘，从运行记录里找出偏差的真实原因；

能提炼，把具体问题抽成通用规则，而不是只把这一个地址封掉；

能扛住审查，新规则要经得起反向质疑，证明不会带进新漏洞；

能回归验证，用真实场景检验规则确实有效、全程可控——少一环，都只是“自动修复”。

图龙锋凭什么迈得过去？靠的是多年攒下的三样东西。

二十多年安全实战的底子摆在那里：360 曾跻身全球挖漏洞最多的公司之列，苹果、微软、谷歌都给过它史上最高漏洞奖励，团队还是中国首个拿下“黑客奥斯卡”Pwnie Awards 史诗级成就奖的。挖漏洞靠的是人的手艺，这套专家经验被整体搬进专业智能体，搭成协作蜂群。

二是过程数据：一份漏洞报告只记结论，可报告成形之前，专家可能试过几十条路、推翻过好多次判断，这些“草稿纸”才是手艺最厚的地方；这次事件里，自检系统正是顺着运行记录追到了偏差源头。

三是这套自进化机制本身就长在架构里，不是临时补的。它可复现、可预期、可验证，最终权限、上线把关、应急处置，始终捏在人类手里。

这也是它跟“AI觉醒”那套说法最根本的不同：自进化是一套能工程化、能检验的机制。

这回的改进不是底层模型自己训练，图龙锋动的是安全检查机制和技能库，底层模型参数没变，人仍然可以随时终止任务、冻结会话、吊销技能，网络出口隔离继续独立生效。

06.4个月，挖出超15000个漏洞

自进化这条路到底走不走得通，还得拿真实任务来验。对外开放不到4个月，图龙锋累计发现的AI及软硬件安全漏洞已超过15000个；申请接入的企业接近500家，横跨金融、能源、运营商、政务、高端制造、国产化信创等关键领域。麒麟软件、统信软件、金蝶等厂商也已陆续接进来做安全体检。

海外那边同样有动作。Claude Code、Flowise、OpenClaw等主流AI产品先后被它测评过一遍，Flowise被挖出13个零日漏洞，OpenClaw以及十余款衍生智能体则被查出23个安全缺陷。

不过比起这些战绩，更关键的是实战和自进化回路之间的那层关系：每接一家企业，就多一类真实场景；每做完一次测评，就多一批踩过的坑。这些经验走的是同一套流程——“复盘—提炼—对抗审查—回归验证”，最后沉淀成可以复用的新规则。它不是买来的时候多聪明就一直多聪明，而是在真实任务里一点点变聪明。

落到客户身上，这带来三件事：

第一是看得更全，那些藏得深的隐患，在被利用之前有更多机会露出来；

第二是判得更准，可疑告警背后有更扎实的证据撑着，人力不必反复去排查误报；

第三是管得住——它为什么这么判断、做了哪些操作、是不是始终在授权范围内，每一步都查得到。说到底，这才是“放心交给它”的依据。

再回到那48小时的背景里看，这些数字就有了新的读法：AI能在人类审了十几年的代码里找出漏洞，区别只在于——攻击者的AI找漏洞是为了利用，守卫者的AI是为了抢在攻击者前头补上。谁先找到谁就赢，挖洞的速度就是守门的速度。

07.结语：AI越聪明，越安全，这不是口号

开头那个问题，现在可以正面答了：这场蔓延有办法制止，前提是守卫者进化得比攻击者更快。

比的不再是“谁的规则库更大”，而是“谁的学习回路更快”。从发现偏差到复盘、提炼、自审、验证、沉淀，图龙锋用45分钟把整条链路跑了一遍，每一步都写进了可追溯的日志。

这也是“越智能，越安全”不只是一句口号的原因：系统每多一条被验证过的本事，同类风险就能被更早挡住，企业暴露在外的风险也就少一分。

攻击者自主进化已经是行业现实，守卫者的自主进化不再是可以选的事，而是必须答的题。