AI批量挖掘内核漏洞：成本、方法与冷思考

一、事件回顾：比”948”更值得关注的两个细节

近期流传的一份研究报告给出了两个相当震撼的数字：投入约120万美元的算力成本，在一个被全球广泛使用的开源操作系统内核中，扫描并验证了948个漏洞。直觉上，这是一次“AI改写安全行业”级别的展示。但如果细读报告，会发现真正值得从业者琢磨的，反而是两个不起眼的细节：

第一，报告对所用模型的描述是“一款即将发布的安全方向模型”，没有给出任何版本号。也就是说，产出这948个结果的模型，在外界看来是“黑箱中的黑箱”——既不知道它基于什么基座能力，也无法在相同条件下复现。

第二，在报告体系的另一组编排实验中，出现的却是另一个以“安全”为后缀命名的版本；而此前七月份“发现并利用166个唯一提权漏洞”的，又是另外一个命名的版本。三个数字（948、166、120万美元）、至少两种不同的模型命名口径，彼此之间的关系无从考证。

这两个细节共同指向同一个问题：方法学透明度。下文我们先拆解这类系统在技术上如何运转、成本是否划算，再回过头讨论“模型未具名”为什么不是小事。

二、技术拆解：AI辅助漏洞挖掘是如何运转的

2.1 传统手段的天花板在哪里

在理解大模型的价值之前，先要看清传统方法的边界：

• 模糊测试（Fuzzing）：依赖覆盖率引导生成海量输入，在内存破坏类问题上表现出色。但内核态代码的输入空间极其庞大，状态爆炸问题突出；更关键的是，它本质上“等待程序崩溃”，对权限校验缺失、逻辑条件绕过、竞态条件这类需要理解代码意图的缺陷，覆盖能力有限。
• 静态分析：基于规则与模式匹配，可大规模扫描，但在数千万行级别的代码库上误报率居高不下，人工甄别成本甚至会抵消自动化收益。
• 人工审计：质量最高，但资深内核安全研究员是稀缺资源，审计覆盖率不可控、成本高昂，且难以持续。

这三条路径的共性困境是：要么有规模没深度，要么有深度没规模。

2.2 大模型带来的范式变化

大模型介入后，价值主要体现在三个跃迁上：

1. 从模式匹配到语义推理：模型可以像人类审计员一样阅读代码，主动提出“这个不变量在什么条件下会被打破”的假设，而不是被动等待崩溃信号。
2. 从发现问题到闭环验证：先进的安全方向模型不仅能给出“疑似问题点”，还能合成概念验证（PoC），在隔离环境中实际触发问题，把“可疑”升级为“可证实”。
3. 跨边界关联分析：内核漏洞往往横跨系统调用入口、中间层处理与底层驱动，需要跨文件、跨模块的上下文推理，这恰是长上下文模型的相对优势。

2.3 一条典型的流水线

把上述能力工程化，业界常见的做法是构建一条多阶段流水线：

# 示意：AI 辅助漏洞审计流水线的抽象流程
for module in target_modules:                 # 1. 划定审计范围
    candidates = llm_audit(
        module_code,
        focus=["内存安全", "权限校验", "并发时序", "整数溢出"],
    )                                          # 2. 语义审计，产出候选
    for c in dedup_and_rank(candidates):       # 3. 甄别去重、按风险排序
        poc = synthesize_poc(c)                # 4. 生成概念验证
        result = run_in_sandbox(poc)           # 5. 隔离环境实际触发
        if result.verified:
            submit_disclosure(score(result))   # 6. 评级并走负责任披露

其中最值得强调的是验证环节。报告中”948”的关键定语是“验证过”——这意味着每个发现都经过了实际触发确认，而不是模型的一面之词。对安全社区而言，“验证过的发现”和“模型觉得可疑的代码片段”是完全不同的两种交付物，后者的甄别成本会被转嫁给上游维护者。

三、成本账：120万美元到底贵不贵

做一个简单除法：1,200,000 ÷ 948 ≈ 1266美元/个。这个数字是否划算，要分三个层面看：

1. 与人工口径对比。 内核级漏洞的挖掘高度依赖资深专家，若按人工审计的时间成本折算，再参考各大漏洞赏金计划历史上对高危内核问题支付的赏金水平，单个“验证过”的内核漏洞的综合成本普遍高出不止一个数量级。仅从单价看，AI路线已经具备明显优势。

2. 成本结构比总量更重要。 这120万美元并非全部“花在刀刃上”，其中相当比例是沉没成本：大量候选生成后经验证为误报、PoC无法触发、重复发现等。此外还应计入沙箱执行环境的算力开销、甄别与去重的推理消耗。真正的“有效成本”只对应最终那948个结果。

3. 固定投入与边际成本要分开算。 流水线搭建、提示工程、验证框架属于一次性固定投入；一旦跑通，对内核后续版本做增量扫描的边际成本会显著下降。换言之，这次实验更像是“首滚存成本”，后续复用的经济性会更好。

当然也要注意口径：120万美元大概率只是算力成本，未计入研发团队人力、基础设施与数据准备成本。对外解读时应避免把“算力账”直接当成“项目总账”。

四、争议焦点：模型未具名为什么是个真问题

回到开头提到的两个细节。有人认为“模型没具名”只是发布策略问题，无伤大雅；但从安全研究的方法学标准看，这是实打实的硬伤：

• 可复现性受损。安全领域的结论必须可复现。模型未具名、无版本号，意味着第三方无法在相同条件下重跑实验、核对结果，948这个数字只能“选择相信”。
• 跨实验不可比。948与166分别产自不同命名的模型，二者是同一基座的不同分支，还是能力差异巨大的不同代际？口径不明，这两个数字就无法放进同一坐标系比较，“进步多快”的叙事便失去了基准。
• 评估公信力存疑。“即将发布的模型”这一措辞，让结果带有“预告片”性质——外界无法排除结果经过了挑选、提示词经过了反复调优的可能。研究发布与产品营销的边界一旦模糊，损耗的是整个AI安全评测的公信力。
• 对安全社区的连锁影响。漏洞披露需要清晰的工具链溯源。如果产出工具本身不透明，上游维护者在接收报告时，既无法评估发现的产生方式，也难以判断是否存在批量提交的低质量报告。

业界更规范的做法其实并不复杂：固定并公开模型版本、发布评测方法与提示词框架、区分研究结论与产品宣传。做不到这三点，再亮眼的数字也应打上折扣来看待。

五、硬币的另一面：能力外溢与攻防再平衡

这次事件还有一个常被忽略的维度：同样的能力不会只属于防守方。当“千美元级挖出一个内核漏洞”成为可能，攻击者的成本曲线同样在下移，攻防天平面临再平衡：

• 对防守方而言，窗口期被压缩，修复速度（从披露到补丁落地的时长）的权重显著上升；
• 纵深防御、最小权限等传统原则的重要性不降反升，因为单点漏洞被批量发现的概率在提高；
• 在CI/CD中引入AI辅助代码评审，把“事前拦截”的成本打下来，会成为越来越多团队的标配。

换句话说，这类技术进展对行业是“双向加速”：既加速了漏洞的发现，也加速了漏洞被利用的可能。如何让前者跑赢后者，是未来几年安全工程的核心命题。

六、企业落地建议：如何把AI审计嵌入研发流程

对多数企业而言，不必追求复刻这种百万美元级的实验，但可以按以下路径渐进引入：

1. 分阶段推进：先在只读模式下对存量代码做语义审计，再进入隔离环境的PoC验证，最后接入CI流水线做增量扫描，避免一开始就把不确定的产出直接灌进研发流程。
2. 坚持人机协同：AI负责提出候选与初步验证，定谳权留给人。同时把人工复核结论（确认/误报）沉淀为反馈数据，持续改进审计策略。
3. 与现有工具栈互补而非替代：模糊测试、静态分析、依赖扫描各有覆盖面，AI审计是新增的语义层，多层数据交叉印证才能压低误报率。
4. 建立度量体系：至少跟踪四个指标——候选精确率、验证通过率、单验证漏洞成本、平均验证时长。没有度量的引入，只会变成“看起来很忙”的安全剧场。
5. 用好云上通用能力：配套的漏洞扫描、日志审计、监控告警等能力不必全部自建，可依托百度智能云等云平台提供的通用安全类目快速搭建流程，把自研精力集中在审计策略本身。
6. 守住合规底线：所有发现遵循负责任披露；涉及代码资产与漏洞数据时，注意权限隔离与数据保护要求。

七、结语

这起事件真正值得记住的不是”948”或“120万美元”这两个数字，而是两个判断：其一，规模化、经验证的漏洞发现在经济学上开始成立，安全研究的生产方式正在被改写；其二，方法学透明度决定了这类成果是在推动领域进步，还是只在制造话题。对从业者来说，前者是必须抓住的机会，后者是必须警惕的信号——毕竟，一个连模型版本都不愿写清楚的安全实验，很难让人把最坏的猜想排除在外。