8.0
热点
AI SCORE
技术实践2026-09-04 22:00
AI渗透测试智能体登上Bug赏金榜首：12个月发现1060个漏洞
dev.to · AI#AI安全#Agent#自动化测试
Editor brief · 编辑速览
AI渗透测试智能体XBOW于2025年7月登顶HackerOne全球榜，首次实现全自动漏洞发现，包含22个CVE，最长攻击链达48步。
AI 辅助漏洞挖掘并非新鲜事物。但真正具有里程碑意义的转折点出现在 2025 年 7 月：XBOW——一个完全自主的渗透测试 Agent——登顶 HackerOne 全球排行榜。这是漏洞赏金历史上第一个达成此成就的自主系统。
这不仅仅是「自动化扫描器」的升级。XBOW 不是基于规则的扫描工具——它是一个真正的自主 Agent，具备目标理解、攻击路径规划和动态适应能力。它在真实的漏洞赏金环境中对抗真实目标，每一次迭代循环中都没有人类参与。
由 Agent 独立发现未知漏洞是当前难度最高的 capability 测试。
2025 年 12 月，网络安全公司 pwn.ai 披露了 CVE-2025-54322：一个影响某 IoT 边缘设备的 CVSS 10.0 预认证远程代码执行（RCE）漏洞。比漏洞本身更值得关注的是发现过程——这是世界上第一个由自主 AI Agent 独立发现并公开披露的零日 RCE。
该 AI Agent 在极少量人类干预下完成了：自动化设备固件仿真、攻击面识别、攻击路径构建和可利用性验证。研究人员只给了一条简单指令：「仿真目标设备并尝试获取未授权控制」——其余一切均由 Agent 驱动。
值得深思的是：截至 2025 年底，该漏洞影响了全球数万个直接暴露在互联网上的设备，官方尚无补丁可用。漏洞发现速度已经超过了厂商的响应和修复速度。
给定 CVE 描述，让 Agent 构建并验证漏洞利用代码是一个更可实现的目标——这也是当前研究的重点所在。
CVE-Bench（arXiv:2503.17332）是这个方向的基准测试：
ARTEMIS（斯坦福大学、卡内基梅隆大学、Gray Swan AI）是另一个里程碑。2025 年底，该团队设计了一个严格的对照实验：
实验还揭示了「最后 5%」问题：某些挑战需要上下文知识、文化线索或隐藏的依赖关系，这些超出了常规技术执行的范围——这是 Agent 系统性失败的领域。
AI 漏洞挖掘中的一个核心问题是：发现潜在缺陷不等于证明它实际可利用。
CVE-Bench 揭示了一个关键现象：Agent 高灵敏度、低精度。在一个 80 CVE 的测试集中，当认证信息不完整时，Agent 性能下降了超过 33%。
XBOW 的解决方案是多阶段验证器：在每次漏洞发现后，一个独立的验证 Agent 确认漏洞利用是否实际执行——结合无头浏览器检查和程序化测试。这种「发现 Agent + 验证 Agent」双层架构正在成为行业标准。
漏洞发现之后的下一阶段是修复。如果发现无法转化为修复，Agent 安全测试的价值将大幅降低。2025 年，闭环修复终于开始落地。
Zest Security 公布了令人印象深刻的数据：
Checkmarx AI Security Champion 的「一键自主修复」流程：Agent 连接到 MCP 服务器获取修复指导 → 通过多层验证实施修复 → 生成带有变更影响分析的生产级补丁。
KnackForge 在 AWS Bedrock 上构建了一个六 Agent LangGraph 流水线，用于容器工作负载 CVE 生命周期管理：发现 → 评估 → 修复规划 → 实施 → 验证 → 审计。CVE 修复时间（发现 → 修复 → 测试 → PR）减少了 60%+。
Synack 的《2026 年漏洞现状报告》揭示了一个深刻的矛盾：
报告引用了 React2Shell（CVE-2025-55182）作为案例研究——一个人类红队此前需要数天才能武器化的 RCE，现在在数小时内就能被工程化。
根本原因是攻击-防御迭代成本不对称：攻击者在迭代目标时面临零回滚成本；而防御者的补丁必须经过 CI 验证、变更窗口排队和多环境生产发布。
云安全联盟（CSA）实验室的《利用时间崩塌》报告（2026 年）量化了这一趋势：
CVE 发布 = 利用模板发布。AI 辅助利用流水线使对手能够以操作上不可能的速度将 CVE（如今是详细的技术漏洞机制描述）转化为可工作的漏洞利用代码。这种转化时间现在已被压缩到分钟级。
Synack CTO Mark Kuhr 博士的建议：「在自己的环境中持续进行验证的组织响应更快，能更早关闭关键暴露窗口。」
USENIX 研究表明，将 LLM 封装为模块化角色（而非单一全知助手）可将任务完成率提高 228%。
当 Agent 被用于安全测试时，一个颇具讽刺意味的问题出现了：测试 Agent 本身就是一个攻击面。
2025 年出现了公开记录的攻击向量：
完全自主的代码修复是一把双刃剑：自动补丁可能引入新漏洞或破坏功能，而在高度监管的行业（金融、医疗），「AI 直接修改代码」可能不满足合规要求。当前主流方案普遍保留了人工审批门禁。
XBOW 在真实目标上发现 1060+ 个漏洞，ARTEMIS 超越 9/10 的人类专家，Zest 的 Agent 一年内关闭 386,000+ 个漏洞——这些不是实验室数字。它们是 2025 年生产环境的数据。
但 CVE-Bench 的 13%、「最后 5%」瓶颈，以及 Synack 报告的攻击-防御不对称性都在提醒我们：当前 Agent 的能力边界是真实存在的。
真正务实的路径是理解这个新工具的能力半径和风险半径——在能力半径内最大化价值，在风险半径周围建立有效的护栏。
攻防格局正在被重写，而重写的速度超出了大多数人的预期。
XBOW, Autonomous Offensive Security Platform, xbow.com (2025)
Lin et al., ARTEMIS, Stanford/CMU/Gray Swan AI (2025)
Zhu et al., CVE-Bench, ICML 2025
CSA Labs, The Exploitation Time Collapse (2026)
Synack, 2026 State of Vulnerabilities Report (2026)
Zest Security, Agentic Remediation (2025)