01 · 研究概述与定位
1.1 定义边界：什么是"自动化漏洞挖掘"
本课题的研究对象是以人工智能（特别是大语言模型与LLM Agent）为核心驱动力，对软件系统开展漏洞发现、验证与修复的自动化技术体系。研究范围覆盖四类形态：源代码审计（开源项目、自研代码）、二进制审计（固件、闭源程序）、接口与协议实现测试（网络协议、API、内核驱动），以及与之配套的补丁合成与回归验证。厘清三个边界，是进入本课题的第一步：
- 漏洞挖掘 ≠ 漏洞利用 ≠ 攻击工具开发。三者同属"安全研究"光谱的不同区段：本课题聚焦"发现—证明—修复"的防御侧能力；漏洞证明（PoC）仅用于判定可利用性与推动修复，不讨论武器化利用链的构造。这一边界既是学术分工，更是法律与伦理红线（详见第3页第4节）。
- AI赋能（AI-assisted）≠ AI自主（autonomous）。前者的典型形态是LLM辅助人工分析师完成语义消歧、种子生成与崩溃分类，决策权仍在人；后者是Cyber Reasoning System（CRS）在无人工干预下闭环完成"发现→验证→修补"。DARPA AIxCC决赛（2025年8月）证明后者已具备工程可行性，但可靠性、成本与适用范围仍是有约束条件的——本课题对两种形态分别评估、不混为一谈。
- 本课题与姊妹课题"大模型安全攻防"的分工。大模型安全研究"如何攻击与保护AI系统本身"（提示词注入、越狱、Agent安全）；本课题研究"如何用AI攻击与保护传统软件系统"（代码审计、Fuzzing、补丁）。两者在"LLM Agent作为攻防主体"这一交叉点上汇合——AI既是被保护的对象，也是新一代攻防武器。
1.2 为什么是"关键窗口期"：四组硬数据
漏洞挖掘的供需矛盾在2024—2026年间被AI能力跃迁急剧放大。以下数据全部来自可公开核实的权威来源：
- 漏洞产出持续创历史新高。据CVE.org官方统计，2025年全球共发布48,244个CVE，连续第九年刷新年度纪录（2024年为40,077个，部分第三方数据集为40,009个）；漏洞总量增长与软件复杂度增长同步，人工审计能力已结构性滞后。
- 攻防时间差长期存在且被量化。行业统计表明，攻击者对新披露漏洞的平均利用时间已缩短至约5天；而关键Web应用漏洞的修复中位时间约35天（外部资产约61天），全部漏洞平均修复周期一度高达252天——"发现速度"与"修复速度"之间的剪刀差，正是自动化技术要弥合的核心缺口（该组数据为多源行业统计口径，作为量级参考引用）。
- AI自主挖洞通过里程碑式验证。2025年8月DEF CON 33上，DARPA AIxCC决赛的7支决赛队伍CRS系统在约5,400万行真实开源代码中，识别出63个植入合成漏洞中的54个（86%）、成功修补43个（68%），并额外发现18个此前未知的真实0-day漏洞（其中11个当场给出有效补丁）；单个任务平均成本仅约152美元、平均补丁耗时约45分钟。
- 产业侧能力在2025—2026年密集落地。AI漏洞挖掘公司XBOW于2025年登顶HackerOne美国排行榜（90天内提交近1,060份漏洞报告，经项目方定级含54个严重级、242个高危级）；Google Big Sleep于2025年8月一次性披露20个自主发现的真实0-day（涉及FFmpeg、ImageMagick等，上报前经人类专家审核）；2026年2月Anthropic披露Claude Opus 4.6在生产级开源代码库中发现并验证500余个高危漏洞，同月推出Claude Code Security受限预览；2026年4月Anthropic发布Claude Mythos Preview并联合约50家机构（12家创始伙伴+约40家获批机构）启动Project Glasswing，累计扫描1,000余个开源项目、识别23,019个问题（其中6,202个高危/严重级），抽样1,752个经6家独立安全机构复核真阳率90.6%；首月内Mozilla借其辅助在Firefox 150单版本修复271个漏洞，Cloudflare在自家基础设施发现约2,000个问题（约400个高危/严重级）；6月伙伴扩展至约150家，Mythos Preview由Mythos 5接替。
核心判断：自动化漏洞挖掘已从"论文演示"进入"受控实战"阶段。它的现实意义不只是"AI帮人类找bug"，而是把漏洞发现的边际成本压缩到近乎为零——这将系统性改写攻防双方的资源约束条件，其影响深度不亚于Fuzzing在2010年代对崩溃挖掘的改写。
1.3 学院定位：与迪妙主旨的深度结合
迪妙网络空间安全学院依托CNNIC及公共互联网反网络钓鱼工作组的长期实践，聚焦企业员工安全意识培训与青少年网络安全启蒙教育。自动化漏洞挖掘课题与这一主旨存在三重直接连接：
- 反钓鱼的"上游战场"。钓鱼攻击的整条基础设施链——批量克隆站点、水坑攻击、N-day批量打点、钓鱼页面托管——都建立在软件漏洞之上。当AI把"发现可利用漏洞"的成本压到152美元量级，钓鱼基础设施的边际成本也随之崩塌。反网络钓鱼工作组研判下一代威胁，必须理解漏洞挖掘自动化这一底层变量。
- 演练剧本的"案例富矿"。本课题收录的里程碑事件——从2016年CGC全机器决赛到2025年AIxCC、2026年Mythos封闭式发布——每一个都是结构完整的教学案例：可以拆解为红队自动化能力演示、蓝队应急响应流程、以及伦理治理辩论三组教学素材，直接转化为攻防演练剧本。
- 方法论的教育载体。本领域普遍存在"厂商披露、缺少独立验证"的现象（如各类0-day计数均出自模型厂商自述），以及"基准成绩≠实战能力"的经典陷阱。这些真实存在的认知偏差，是训练青少年"区分已证实事实、机构评估与研究推断"批判性思维的绝佳素材。
1.4 研究方法论原则
- 来源分级：优先采用官方赛事成绩（DARPA/OpenSSF）、正式发表的系统论文（OSDI、NDSS、ICSE、ISSTA、USENIX Security、IEEE S&P、ASPLOS、OOPSLA、ICML、NeurIPS等）、政府法规与国家标准；厂商报告明确标注厂商立场；媒体报道仅作线索。
- 证据三分：行文严格区分"已证实事实"（如CVE编号、赛事官方成绩、论文实验数据）、"机构评估"（如厂商披露的0-day数量与真阳率）与"研究推断"（如本专题的归纳性研判），杜绝将厂商自述当作独立验证的事实引用。
- 攻防克制：所有技术细节仅作机制性、科普性说明，不提供可直接复用的攻击载荷与利用指引；任何实际测试必须在书面授权环境下进行。
- 时效标注：威胁情报强时效，本专题数据基准为2026年9月，关键数据均注明出处与时间。
1.5 核心术语速查表
为统一全文术语口径（与DARPA赛事档案及系统论文用法保持一致），先立后破：
| 术语 | 本课题定义口径 |
|---|---|
| 模糊测试（Fuzzing） | 向目标程序自动喂入大量构造输入、观察异常行为（崩溃、断言失败）以发现缺陷的动态测试方法；本课题以覆盖率引导变异为主线。 |
| 覆盖率引导变异 | 以代码覆盖反馈作为适应度信号指导输入变异方向的搜索策略，AFL/AFL++/libFuzzer的核心机制。 |
| 符号执行 | 以符号值代替具体输入执行程序、收集路径约束并交给约束求解器生成可达特定路径的测试用例；固有瓶颈为路径爆炸与求解成本。 |
| Harness（测试桩） | 将被测函数包装为可被fuzzer调用的入口代码；其编写成本是传统Fuzzing冷启动的主要开销，也是LLM自动合成的重点对象。 |
| 种子（Seed）与字典 | Fuzzing的初始输入语料与变异词元集合；质量直接决定搜索效率，LLM可按语义生成高质量种子与字典。 |
| 崩溃分诊（Crash Triage） | 对海量崩溃日志进行根因分类、去重与可利用性初判的环节；AIxCC各队系统均将此作为标准模块。 |
| PoV（Proof of Vulnerability） | 漏洞证明：能够稳定触发并证明缺陷存在的最小输入/程序；AIxCC评分以"经验证的PoV"为得分前提。 |
| 0-day / N-day | 0-day指尚未被厂商知晓或尚无修复方案的未知漏洞；N-day指已公开但尚未普遍修复的漏洞，常被批量利用于打点与钓鱼基础设施。 |
| 真阳率（True Positive Rate） | AI产出中经独立验证确认无误报的比例；本课题评价任何AI系统时以可复现真阳率为优先度量。 |
| Cyber Reasoning System（CRS） | 在无人工干预下闭环完成"发现→验证→修补"的自主系统；CGC（2016）与AIxCC（2023–2025）的参赛形态。 |
| SBOM | 软件物料清单：对组件及版本的结构化登记，是暴露面收敛与漏洞影响面分析的基础设施。 |
| 协同漏洞披露（CVD） | 发现方与厂商在合理修复时限内协同、再公开细节的披露流程；我国对应《网络产品安全漏洞管理规定》的报送义务。 |
| 回归验证 | 补丁合入前以既有测试集与新增针对性测试验证"修复原问题且未引入新问题"的流程；AIxCC修复率68%即建立在回归门槛之上。 |
合规与伦理声明：本课题仅基于公开来源开展学术性梳理，所有事件归因均为"某机构公开披露/评估"的转述，不代表本学院立场；文中技术细节仅用于防御研究、安全教育与检测能力构建，严禁用于任何未授权测试。漏洞挖掘活动在中国境内受《网络产品安全漏洞管理规定》等法规约束（详见第3页第4节）。
02 · 经典技术基座：AI之前的半个世纪
AI并不是凭空降临漏洞挖掘领域的。半个世纪以来，模糊测试、符号执行、静态分析与基准工程四条技术线各自成熟，构成了今天所有AI系统的"能力底座"。理解基座，才能准确定位AI的真实增量。
2.1 范式演进时间线
| 时间 | 里程碑 | 意义 |
|---|---|---|
| 1990 | Barton Miller 随机Fuzzing实验 | 首次系统性地用随机输入测试Unix工具并统计崩溃，"Fuzzing"一词进入安全词典，证明"让程序崩溃"可以是一门科学。 |
| 2008 | KLEE（OSDI）/ SAGE（微软白盒Fuzzing） | 符号执行从理论走向工程：KLEE自动生成高覆盖测试用例；SAGE在Office等产品线规模化发现安全漏洞，开启"白盒Fuzzing"工业化时代。 |
| 2013 | AFL（American Fuzzy Lop）发布 | 覆盖率引导变异Fuzzing使崩溃挖掘效率数量级提升，随后AFL++（WOOT 2020）、libFuzzer、Honggfuzz形成现代Fuzzing工具族。 |
| 2016 | DARPA CGC全机器决赛 / OSS-Fuzz上线 | CGC（Cyber Grand Challenge）首次让7台Cyber Reasoning System全自动"找洞—利用—修补"同台竞技，ForAllSecure的Mayhem以200万美元夺冠，现陈列于史密森尼博物馆；Google OSS-Fuzz启动对开源项目的持续化Fuzzing服务。 |
| 2016–2020 | 基准工程成熟 | LAVA-M（NDSS 2016）、Magma（NDSS 2020）、Google FuzzBench、NIST Juliet/SARD构成可复现的评测基础设施，使"谁的fuzzer更强"成为可测量问题。 |
| 2023 | LLM进入Fuzzing与安全测试 | ISSTA 2023证明LLM可作"零样本Fuzzer"直接生成测试输入；ICSE 2023的CodaMosa用LLM突破覆盖平台期；ICML 2023的TitanFuzz/FuzzGPT将LLM用于深度学习库测试。 |
| 2024 | Google Project Naptime / Big Sleep | LLM Agent首次在广泛部署的真实软件（SQLite）中发现可利用内存安全漏洞（栈缓冲区下溢），且是Google自研OSS-Fuzz多年未发现的——AI开始找到"传统Fuzzing找不到"的洞。 |
| 2025 | DARPA AIxCC决赛（DEF CON 33） | 7支决赛队伍CRS在5,400万行代码上实现86%识别率、68%修复率、18个真实0-day，四支系统随后开源——端到端自主漏洞挖掘修复的范式被公开验证。 |
| 2026 | 能力扩散与治理博弈 | AI自动挖洞能力进入众测平台榜首（XBOW）、主流浏览器（Anthropic×Mozilla两周发现22个Firefox漏洞）、关键基础库（AISLE系统独立发现OpenSSL 1月更新全部12个漏洞，其中3个潜伏25–27年）、开源生态（Mythos/Glasswing扫描1,000+项目）；同期，能力是否应封闭发布成为国际治理焦点。 |
| 2026.01 | AISLE×OpenSSL | OpenSSL 1月27日安全更新修复的12个漏洞全部由AISLE的AI系统独立发现（含1个高危栈缓冲区溢出CVE-2025-15467），其中3个为1998–2000年间引入、潜伏25–27年的古老缺陷，5个修复建议被官方直接采纳。 |
| 2026.04 | Mythos Preview与Project Glasswing | Anthropic发布受限安全模型并联合约50家机构启动Glasswing；首月报告：扫描1,000+开源项目、识别23,019个问题（6,202个高危/严重级），抽样真阳率90.6%，Mozilla单版本修复271个Firefox漏洞。 |
2.2 四大基座技术详解
① 模糊测试（Fuzzing）
覆盖率引导变异的代表：AFL（2013）、AFL++、libFuzzer、Honggfuzz；操作系统内核专用：syzkaller；持续化平台：Google OSS-Fuzz（2016年启动，论文发表于USENIX Security 2017）与ClusterFuzz。OSS-Fuzz已对上千个开源项目持续运行多年，累计帮助修复数以万计漏洞，是现代开源安全的事实基础设施。其核心思想是"用执行反馈（覆盖率）导航输入空间的搜索"，局限在于对需要深层语义先验的漏洞（复杂协议状态机、深层业务逻辑）效率骤降。
② 符号执行
KLEE（Cadar et al., OSDI 2008）：基于LLVM的符号执行引擎，自动生成高覆盖测试；SAGE（Godefroid et al., NDSS 2008 / CACM 2012）：微软白盒Fuzzing工业化代表；angr（Shoshitaishvili et al., IEEE S&P 2016）：面向二进制与固件的分析平台。符号执行的固有瓶颈是路径爆炸与约束求解成本，通常用于"定向深挖"而非"广撒网"。
③ 静态分析
Semgrep（规则即代码，社区规则库庞大）、GitHub CodeQL（将缺陷建模为数据流查询）、Joern（基于代码属性图CPG的遍历分析）。传统痛点是误报率高——同一告警在不同业务语义下可能完全无害。这个"语义消歧"环节正是LLM最能发挥价值的切入点，也是AIxCC各队系统普遍采用的组合方式。
④ 基准与数据集工程
LAVA-M（NDSS 2016，向真实程序大规模注入已知缺陷）、Magma（NDSS 2020，带触发条件标注的ground-truth基准）、Google FuzzBench（fuzzer持续对比平台）、NIST Juliet/SARD测试套件、CVE/NVD与CWE Top 25。基准工程的意义在于把"演示式成果"与"可复现能力"区分开——本课题评价任何AI系统，均以基准成绩优先。
2.3 全球漏洞增长态势（NVD年度数据）
以CVE年度发布数量为观察窗口：2017年（14,645个）已被称为"漏洞爆发年"，2024年达到40,077个（多源统计口径亦有40,009个之说），2025年进一步攀升至48,244个。漏洞供给的指数曲线与人工分析能力的线性增长之间的矛盾，是所有自动化技术的根本驱动力。
2.4 历史坐标：DARPA CGC（2016）与AIxCC（2023–2025）的传承
理解AIxCC，必须先理解它的前身CGC。2016年DEF CON 24的Cyber Grand Challenge是世界上首个全机器网络攻防锦标赛：7支决赛队伍的CRS在定制操作系统上全自动完成漏洞发现、利用代码生成与自我修补，ForAllSecure的Mayhem夺冠并赢得200万美元，随后与人类战队同场参加CTF。CGC证明了"机器可以独立完成安全研究闭环"，但当时的系统依赖人工编写的符号化规则，泛化能力有限。
2023年8月，DARPA联合ARPA-H与白宫发起AIxCC，总奖金约2,950万美元，Anthropic、Google、OpenAI与Microsoft为赛事提供大模型积分与工程支持。与CGC相比，AIxCC的目标转向真实开源基础设施（Linux内核、Wireshark、SQLite、shadowsocks等广泛部署的真实项目；赛事方未完整公开项目清单），并要求输出结构化漏洞证明（PoV）与可用补丁。2024年DEF CON 32半决赛中，42支队伍的CRS识别出约37%的合成漏洞、修复约25%，7支队伍晋级决赛（各获200万美元研发资助）；一年后的决赛，同一指标跃升至86%与68%——一年的进步超过过去十年，其中最关键的变量就是LLM Agent的工程化接入。
学术坐标：对AIxCC全赛程进行系统性复盘的SoK论文（arXiv:2602.07666, 2026）给出了本课题引用最多的一个结论——"真正的瓶颈不是单点技术能力，而是把多种技术稳健集成进自主系统的工程能力"：决赛约143小时的全程自主运行中，约半数赛题可被基础技术解决，但大量赛题在靠后阶段才放出，只有工程稳定性足够的系统才能持续得分。
03 · AI赋能漏洞挖掘：五环节模型与技术全景
将AI在漏洞挖掘中的作用拆解为五个环节，是理解这一领域的最佳框架。LLM在每个环节扮演的角色并不相同：有时替代人工（崩溃初筛），有时增强传统工具（给Fuzzer注入语义），有时创造全新能力（自然语言到测试用例的转换）。
3.1 五环节逐一拆解
漏洞线索生成
LLM阅读代码，理解开发者意图与安全规则，定位可疑source/sink（污染源/汇聚点）、危险API用法与业务逻辑缺陷，生成候选漏洞假设——把静态分析的"高误报告警"转化为"带语义解释的疑点清单"。
定向输入生成
由LLM自动生成Fuzzing harness（测试桩）、初始种子、变异字典与协议状态机：Fuzz4All（ICSE 2024）面向多语言处理器；NDSS 2024工作仅凭协议文档生成测试；KernelGPT（ASPLOS 2025）自动合成内核驱动交互代码。
崩溃分析与去重
LLM阅读崩溃栈、触发输入与相关代码，判断根因类型（内存破坏/逻辑错误/空指针解引用等）并聚类去重，把分析师从海量崩溃日志中解放出来——AIxCC各队系统均将此作为标准模块。
可利用性判定与证明
判定崩溃是否可被利用（控制流劫持、信息泄露等），并自动生成最小触发证明（PoV）。这是CGC时代就存在的硬骨头：AIxCC的评分体系以"经验证的PoV"为得分前提，迫使各队在幻觉与严谨之间建立验证管线。
补丁合成与回归验证
生成候选补丁、配套回归测试并验证修复不引入新问题。AIxCC决赛修复率68%、真实0-day当场修复11个；补丁质量（而非发现数量）恰恰是冠军ATLANTIS与亚军的决定性差异维度。
3.2 核心洞察：AI的真实增量在哪里
综合赛事成绩与系统论文，可以得出三个有证据支撑的结论：
- 增量一：弥合语义鸿沟。传统程序分析工具"看得见语法、看不懂意图"。LLM的价值在于把高层安全规则（"这个函数的用户输入最终会不会到达命令执行"）转化为精确的代码查询与定向测试——Big Sleep在SQLite上的发现之所以重要，正因为它是"Google自家OSS-Fuzz持续fuzz多年仍未发现"的漏洞类别。
- 增量二：冷启动成本的崩塌。传统Fuzzing对一个新项目需要专家编写harness与种子，成本以"人天"计；LLM把这一步压缩到"分钟级、可批量"。OSS-Fuzz-Gen（Google, 2024）与AIxCC各队的实践表明，harness自动生成已成为标配能力。
- 增量三：闭环比单点更重要。SoK对AIxCC的复盘显示，获胜系统并非每个单点技术最强，而是"符号执行+定向Fuzzing+静态分析+LLM"的编排与工程稳定性最优。这与LLM Agent研究的普遍结论一致——集成是护城河。
与姊妹课题的交汇点：本课题中的LLM Agent（自动挖洞）与"大模型安全攻防"课题中的Agent风险（过度代理、提示词注入）是同一枚硬币的两面——当挖洞Agent获得编译器、调试器与网络访问权限时，它自身的提示词注入与权限管控就成为新的攻击面。两个课题的防御结论互相印证：围绕模型构建权限最小化、全程可审计的系统，而不是试图构建一个永远不被骗的模型。
04 · 关键数据速览与趋势研判
来源：DARPA AIxCC决赛官方成绩（2025-08，后经竞赛管理方复核修正植入漏洞数为63个）；OpenSSF DEF CON 33复盘（2025-08）；Google Project Zero博客（2025-08）；Anthropic公开披露（2026-04/2026-05）。厂商数据均为自述口径，解读时请注意证据分级。
4.1 三点趋势研判
- 研判一：发现成本崩塌正在改写攻防资源约束。当"发现一个真实可利用漏洞"的成本降至百美元量级、耗时以分钟计，漏洞供给将从"稀缺专家产出"变为"算力产出"。防御方的核心矛盾随之从"如何发现漏洞"转移到"如何以机器速度完成修复与验证"——修补链自动化（AIxCC中修复率68%的意义所在）与暴露面收敛将成为企业安全的胜负手。
- 研判二：幻觉问题没有消失，而是被"验证管线"工程化管理。AIxCC评分要求经验证的PoV与通过回归测试的补丁，本质上是用外部验证器约束LLM输出；Anthropic披露的高危漏洞真阳率>90%同样建立在专家复核管线之上。任何跳过验证环节直接采信模型输出的组织，都会同时获得AI的效率与AI的错误。
- 研判三：能力治理已成为比能力本身更紧迫的议题。22026年4月Anthropic对Mythos采取"封闭式预览+约50家合作伙伴"的发布策略（6月起纳入美国出口管制框架），引发"安全必要性与能力垄断"的双重争论；未就"自动挖洞能力的合理扩散边界"达成共识——这正是政策研究与企业合规的窗口期。