中国信通院正式发布首批漏洞挖掘智能体能力评估结果，360 自研 AI 安全攻防系统图龙锋顺利通过全部测评项目，成为国内首个完成该项评估的漏洞挖掘智能体产品。本次评估依据《互联网智能体治理 漏洞挖掘智能体能力要求》，从漏洞目标多样性、任务复杂程度、自动化程度、漏洞发现准确性四大维度设置 12 项考核指标，完整检验智能体从代码采集、攻击面测绘、漏洞研判到复现验证、报告输出的全链路能力。

在 AI 加速重构网络攻防格局的背景下，攻击者依靠大模型自动生成攻击载荷、批量挖掘漏洞的能力持续提升，传统人工审计、静态扫描模式已经难以匹配软件快速迭代的节奏。本次评估落地，标志着国内 AI 漏洞挖掘产品告别无标尺的自由发展阶段，一套可复核、可对比的标准化测评体系正式成型，也为政企采购、关键基础设施安全检测提供统一评判依据。

跳出传统扫描框架：智能体化漏洞挖掘，实现从告警到可验证漏洞的跨越

图龙锋的技术路线区别于市面上在传统安全扫描工具上简单叠加大模型的产品方案，采用安全领域大模型搭配多智能体蜂群协同的架构，把多年攻防沉淀的漏洞知识库、专家经验、验证工具链整合进智能体任务流程之中。整套系统可以自主完成项目画像、攻击面梳理、多语言代码审计、二进制固件分析、漏洞路径推演，并且在隔离沙箱环境内完成漏洞复现，最终输出附带验证脚本、可复现的漏洞结论，而不是大量无法核验的疑似告警信息。

 检测覆盖范围不再局限普通业务代码，同时覆盖源代码、二进制程序、固件、移动端应用、AI 工具链与智能体平台等多元对象，能够针对大规模复杂工程开展长周期自动化审计。从实战数据来看，图龙锋上线以来累计挖掘漏洞数量突破 1.5 万个，其中包含多个潜伏多年的底层高危漏洞，相关成果获得微软官方致谢；同时已经在 OpenAI Codex、各类开源 AI 智能体框架中发现多项高危缺陷，形成 “以 AI 审计 AI” 的典型样本。目前已有 500 余家企业接入该系统开展常态化安全体检，覆盖信创、能源、金融、通信、汽车、政务等关键行业。 

对于安全行业而言，这套能力改变了漏洞挖掘的人力依赖模式。过去 0day、逻辑漏洞挖掘高度依赖顶尖安全研究员，产能有限、周期漫长；AI 智能体可以 7×24 小时持续扫描，把基础审计、重复验证类工作自动化，安全人员的重心转向复杂漏洞研判、修复方案设计与深度攻防研究。但 AI 并非完全替代专家，智能体的推理边界、漏洞误报、复杂业务逻辑理解短板，依然需要安全专家持续校准知识库与提示体系，人机协同才是现阶段主流落地形态。

测评体系落地的产业价值：AI 安全产品进入规范化、可审计时代

在本次信通院评估框架推出之前，AI 漏洞挖掘产品长期存在能力黑箱问题。不同厂商宣传的漏洞检出率、高危漏洞数量缺少统一测试集与评判标准，产品能力无法横向对比，政企采购时难以甄别真实效果，市场容易出现概念炒作。信通院这套评估框架相当于给 AI 漏洞挖掘智能体设立行业基准，相当于安全领域的标准化能力测试，也被业内视作 AI 安全产品的 “图灵测试”。 

标准化测评带来的连锁影响，首先体现在监管与供应链安全层面。随着工业 AI、车载智能体、大模型应用大规模落地，软件供应链复杂度持续走高，开源组件、第三方 AI 插件带来的未知风险持续增加。监管机构、关键基础设施运营方后续可以依托这套评估标准，筛选具备可信漏洞挖掘能力的工具，在上线前完成安全左移，把风险拦截在部署之前。其次会倒逼行业收敛技术路线，厂商不再单纯宣传大模型参数，而是围绕漏洞可复现性、复杂场景检出能力、误报率这些可量化指标打磨产品。 

同时也要看到赛道现存挑战。AI 漏洞挖掘智能体对算力、高质量漏洞样本、场景适配成本要求很高，中小安全厂商很难独立搭建同类系统；不同行业的业务逻辑差异巨大，面向工业控制、车载固件、智能合约的专用漏洞挖掘能力，还需要持续场景化训练。标准化评估只是起点，后续还会持续扩充测试用例，增加对抗性测试、复杂逻辑漏洞专项考核，避免产品为通过测评做定向调优，出现 “测评效果好、真实场景失效” 的情况。

结语 

图龙锋通过信通院首批漏洞挖掘智能体评估，是国内 AI 安全攻防工具标准化进程里标志性一步。AI 驱动的自动化漏洞挖掘，正在重塑软件安全测试流程，推动安全防护从被攻击后应急响应，转向事前主动发现风险。统一测评标尺落地之后，市场竞争将从概念宣传转向真实检出能力比拼，帮助政企更好甄别 AI 安全产品价值。面向未来，随着智能体、大模型在各行各业持续渗透，AI 安全检测体系还需要持续迭代，构建覆盖模型本身、代码、固件、业务系统的完整风控链条，为国内数字基础设施、AI 应用供应链筑牢安全底座。