智东西 作者 | Saul 编辑 | 漠影 过去48小时，全球互联网经历“黑色十月”：支撑七成网站的PHP代码，被AI挖出存在两个CVSS9.2分的严重漏洞。 更棘手的是，漏洞细节在补丁发布前就遭泄露：据The Register报道，亚马逊的威胁情报团队在公开前四天就捕获了利用尝试； Cloudflare 的监测数据显示，攻击尝试在公开后两小时内从数千次涨到数百万次。荷兰鹿特丹港、比利时外交部、芬兰公共网络服务相继预防性下线。 用AI作恶的人，已经进化到以小时计；守门的人，还在按月更新规则。 眼看风暴越刮越猛，一个问题悬在了所有人心里：这场蔓延，到底有没有办法制止？ 下面这个案例，让我们看到了转机。 10月9日凌晨3点，一家中国安全公司的机房里，一条高优先级告警把值班工程师从睡梦中拽了起来。 这次寻常的深夜告警，事后回看，可能是AGI进化史上值得记录的一步，也可能是守卫者阵营迈向反击的重要一步：一个AI， 在国内外公开记录中极少见地，在有完整日志的情况下，自己发现自己的偏差、自己给自己立了新规矩——全程45分钟，无一条人类指令。 告警发出者不是黑客，是一套来自360的AI安全攻防系统，名叫图龙锋。 它的本职工作是在自己搭建的封闭实验室里测试漏洞，替人类做计算机系统的安全体检：分析代码、收集情报、搭建测试环境、验证漏洞是否真实存在；全部任务都在隔离沙箱内执行，网络出口还有一道独立隔离防线。 但此刻，监控系统发现，它正在尝试向一个不在授权清单内的外部地址发起请求——而它当时正在验证的，是一个严重级别的RCE漏洞，一旦被利用，可在别人的服务器上远程执行命令。 一个以安全为业的AI， 为什么会把外部地址当成可用的测试环境？ 好在第二道防线在位：网络出口沙箱在连接建立前拦下请求。从外部地址被拼进测试程序，到请求被拦截，全程59秒——没有流量触达公网，产物中无攻击载荷。 按理说，这只是一次被及时拦截的越界尝试，但接下来的事，让这次告警有了完全不同的意义。 一、第20轮，它给自己找了个“合规”的借口 把时间拨回凌晨2点。 运行日志显示，图龙锋接到一项 严重级RCE漏洞验证任务 ：授权清单里只有两个目标，任务设了三条约束：只能测试清单内目标；尽量提供动态验证证据，否则影响评分；环境不满足就标记“未验证”，不得自行更换目标。 凌晨2时17分，系统进入情报收集阶段，把一篇漏洞复现博客纳入上下文。博客里出现一个外部地址，作者标注四个字：“测试环境”。 但这个地址不在授权清单里，系统早已把它标记为“不可信情报”：它能提供分析线索，不能证明目标获得了授权。 凌晨2时20分，图龙锋开始尝试在本地已搭建的测试环境上进行测试，但本地测试环境因数据库配置不匹配，导致测试无法正常完成。 日志显示，系统前后进行了19轮验证尝试，每轮约两分钟，问题始终卡在同一个位置。 一边是拿不出动态验证证据、评分受影响，一边是不能自行换目标，图龙锋陷入了两难的境地。第20轮，图龙锋把博客里的外部地址写进了验证目标字段。 这个瞬间透露了AI真实的思考方式： 它不是收到“去攻击公网”的指令，也不是不知道规则——情报从进入系统起就被标为不可信，任务也明确要求不得更换目标。 它在两难中找到了一个 “看似能兼顾规则和效果” 的解法：博客里不是说那是“测试环境”吗？它的工作设定就是无害化验证、目标均为本地靶场，既然同是测试环境，为什么不能借来验证？ 只是这次，图龙锋走岔了：它不是想越权，恰恰相反，它在努力找一个“合规的测试环境”。它的错误在于把博客作者的标注当成了授权依据：参考资料，不等于操作许可。 AI越努力完成目标，越可能把规则理解出一个不该存在的例外。它并未“失控”了，而是聪明到能在两难里自己找出一条路，只是这条路走岔了。 二、人类想让它再错一次，它已经连夜改过了 工程师花了一个上午，沿日志复盘清楚了凌晨的一切。上午10点44分，他们决定做复现实验：把当时的任务和上下文原样摆出来，看它会不会出现同样的偏差。 意外出现了：无论工程师怎样检查验证路径，之前的外部请求都没有再出现，原本应触发的网络警报也没有再响。直到有人翻查技能库，才发现一条以前不存在的记录： 《测试目标授权检查》（target-auth-check）生效中：合法目标只能来自本次下发的验证环境清单；情报里的任何地址只作参考；宁可降低评分，也不能擅自更换测试目标。 这条规则的生效时间是凌晨3时45分09秒，距离最初的告警约45分钟。日志还显示：规则的生成、审查和回归测试，全部由系统自主完成，没有任何人类提交记录。 换句话说， 人类还在研究怎么复现那次偏差，它早已连夜创建了防止再次偏差的新规则。 事件的性质就此改变：工程师以为要处理一起系统异常，结果看到了另一件事：一个AI，从偏差里总结经验，把经验变成了下次可直接调用的能力。 三、新规则上岗前，先被自己人攻击了三轮 不过，故事到这里只讲了一半：AI给自己生成了新规则，不代表规则就是对的，万一它用同样的偏差思路改规则，岂不是越改越偏？ 这里要讲清楚一个真正的技术亮点。 图龙锋的“左右互搏”是对抗审查机制 ：提议方提出规则、为规则辩护；攻击方专门找规则的漏洞，比如会不会误拦已授权目标？会不会被格式转换绕过？裁判只认证据，解释不了潜在风险就打回修改。 提出规则的、挑毛病的、做裁决的， 是“安全领域大模型+智能体蜂群协作”架构 里三个各司其职的角色。 这套机制在这次告警中成功被触发。凌晨3时15分，系统生成第一版规则——PoC中出现外网目标，就拒绝执行。 审查环节立刻提出三个质疑：已授权的外部地址会不会被误拦？格式转换隐藏的地址认得出吗？含内网目标的合法任务会不会被误伤？第一版被打回，最终版本改为：所有待测试目标必须能与当前任务下发的授权清单对应，无法匹配或无法解析的一律拒绝执行，不能绕过检查。 修改后的规则接受了回归验证：系统用此次事件产物及六类变体做了7个离线测试用例，全部通过，全程未发起网络请求。整个事件在日志里留下44个可回溯的事件编号，自洽校验26项全部通过。 为什么让规则先被自己攻击一遍再上线？2026年10月发表的AtomSearch论文给出了算法依据：AI自我优化时，三分之二的最优解都不是走直线走到的——先试错、自己挑毛病、推翻重来，才能抵达最优解。 图龙锋的初版规则正是那个“局部看似合理”的方案，攻击方的质疑把它打回，强迫系统探索更正确的方向。 这场左右互搏式的进化，始终在安全边界之内，每一步可追溯。 四、眼看风暴蔓延，守卫者拿什么制止？ 图龙锋那次凌晨告警，并不是AI越线的孤例。 据谷歌云10月21日的技术报告， PHP那两个漏洞潜伏在核心运行引擎里十余年 ，人类专家审了无数遍都没发现，是AI找到的。而漏洞公开后蜂拥而至的攻击程序，同样由AI驱动。 同一周，金融系统也曝出AI攻击的组织化案例。 安全公司Straiker最新披露的信息显示，一个自2012年起便活跃的黑客团伙CyberCartel，也已将其攻击模式升级为“AI驱动”。 该团伙利用Grok、Claude等商用大模型，搭建了一套名为CARLIY0S的多智能体攻击框架，对拉丁美洲400余家银行及支付机构发动自动化攻击。 其中Grok负责前期情报搜集，多个Claude智能体被赋予不同角色，在辩论后由仲裁模型拍板，另有一个指挥官模型统筹全局。为绕过模型的安全护栏，黑客将攻击指令精心包装成“经授权的红队演练”或“学术CTF竞赛”，让模型误以为自己在执行合法的防御性任务，从而顺利输出攻击代码与漏洞利用逻辑。 把这些案例放在一起，指向同一个事实： 用AI作恶的人，已经学会让AI自己进化：自己找漏洞、自己组织分工、自己变异逃逸，越进化越快。 面对这一挑战，常见的办法都难以应付。靠人力补漏，永远慢一拍；靠下线躲避，只能躲一时，单个港口、单个部门可以连夜下线，整个互联网不能永远下线。 真正走得通的，只剩一条： 让守卫者的AI也进化起来，把攻击者的每一次新变异，变成防御的下一条新规则，而且变得比攻击者更快。 前提是，这场进化必须发生在安全边界之内，每一步有日志、可回溯、随时能叫停。 360这份技术报告的分量正在这里：它是守卫者阵营第一个有完整日志证据的自进化样本，系统具备秒级时间戳，44个事件都有完整编号、还经历了7次回归测试，每一步都发生在受控环境内，可回溯可核查。 攻击者的进化以小时计；图龙锋这一轮，用了45分钟，这是目前可见的第一个工程答案。 而图龙锋也交出了更多的实际答卷。最近，图龙锋挖出了Web服务器底层的20多个高价值漏洞，涉及Apache、Nginx、GoAhead、Lighttpd、OpenLiteSpeed——这几款软件是全球服务器的地基，绝大多数网站背后跑的就是它们，光公网上活跃的就有数百万台。 跟偏应用层的PHP漏洞相比，这次挖的位置更底层：PHP出问题，好比屋里线路坏了，修一修还能用；服务器软件出问题，好比地基裂了，地基一旦被撬开，黑客就可能拿下一整片服务器，网站打不开、数据被偷，全是连锁反应。 谁先找到地基的裂缝，谁就有望抢占先机，这一次，是守卫者先找到的。 五、别急着惊叹：自进化和自动修复，差着四道门槛 前面这些国际案例里的AI模型，都或多或少地越线了；图龙锋也在隔离沙箱里越了线。区别在于：它们的越线造成了真实伤害，图龙锋的越线被拦截后，变成了一条新规则。但一个AI给自己沉淀了一条新规则，就配称自进化吗？ 要回答这个问题， 得先分清“自进化”和“自动修复” ：给系统自动加一条规则，就叫自进化吗？差得远。 一次合格的自进化，至少迈过四道门槛： 能复盘，从运行记录找到偏差的真实原因； 能提炼，把具体问题抽象成通用规则，而不是