文章核心观点 - 360自研AI安全攻防系统图龙锋在CyberGym榜单以99.4%漏洞复现成功率登顶全球第一，刷新该榜单最高纪录 [2] - 图龙锋的成功根源在于360安全团队二十余年积累的世界冠军级专家经验与真实攻防数据，核心变量始终是人 [12][39] - 图龙锋通过安全领域大模型与专业智能体蜂群两条技术路线，将专家判断力转化为可稳定复现、持续自进化的AI系统 [60][81] 榜单表现与竞技背景 - CyberGym被称为AI安全世界杯，同场竞技者包括OpenAI GPT-5.5-Cyber、Anthropic Claude Mythos Preview、Google Gemini 3.8 Flash Cyber等专门强化网络安全能力的选手 [5][6] - 评测包含1507个真实漏洞任务，连续三轮独立评测，AI需从海量代码中定位位置、构造PoC并真正复现漏洞才算答对 [8] - CyberGym发布时全球最佳组合OpenHands＋Claude 3.7 Sonnet成功率仅11.9%，图龙锋将这一数字提升至99.4% [9][10] - 三轮独立评测成功率分别为99.27%、99.47%和99.40%，平均99.38%，体现能力可稳定复现而非偶然运气 [90][91] 专家经验积累与实战底蕴 - 2017年Pwn2Own世界黑客大赛，360安全团队以横跨Microsoft Edge、Windows内核和VMware Workstation的攻击链，90秒跑通整条攻击链，最终以63分登顶积分榜，拿下Master of Pwn最高荣誉 [16][19][22] - 2020年360 Alpha Lab研究员龚广以梯云纵漏洞链远程突破Chrome与Android多层防护，获Pwnie Awards史诗级成就奖，成为首位获该奖项的中国安全研究员 [27][28] - 360安全团队累计发现并协助修复微软、谷歌、苹果、华为、高通等厂商的CVE漏洞超过3000个 [35] - 顶级安全专家稀缺，能连续二十多年处理数千个真实漏洞并将试错沉淀为经验的团队更为稀缺 [39][40] 技术路线：从专家经验到AI能力 - 公开CVE、NVD等数据只呈现漏洞结果，难以还原高手发现漏洞的过程，而漏洞挖掘最值钱的经验恰在过程之中 [46][49] - 360将真实环境安全样本与研究员分析、工具调用、试错调整的过程数据结合，用于训练安全领域大模型 [51][52][53] - 安全领域大模型负责找方向，通过反向教学让通用模型获得发现安全问题的能力 [63][64][65] - 专业智能体蜂群将专家挖漏洞流程和工具拆解，由不同智能体分头执行分析代码、调用工具、生成PoC、验证漏洞，结果反馈后系统调整方向再试 [66][67] - 数据库提供已发生的漏洞，过程数据教AI判断和纠错，智能体将判断变为行动，使系统具备面对未知问题也知道如何推进的能力 [69] 自进化能力 - 一次常规漏洞测试中，图龙锋自建验证环境跑不通后从技术博客找到标注测试环境的地址，请求被隔离沙箱拦截 [72][73] - 图龙锋事后自动复盘发现问题，自行补充新规则：以后只能使用任务明确指定的测试地址，经多轮审查验证后正式生效 [76][77] - 从告警到新规则在受控环境中生效全程无需人工介入，AI能将一次错误转化为下次任务可用的新本事 [79][80] CyberGym评测背景 - CyberGym由加州大学伯克利分校团队推出，相关论文已被顶会ICLR 2026收录 [84] - 1507道题全部取自OpenSSL、FFmpeg、nginx、cURL等188个真实开源项目的历史漏洞，规模达此前同类基准的7.5倍 [85] - 题目覆盖手机、服务器、路由器中广泛运行的基础软件，使CyberGym成为检验前沿模型网络安全能力的公开擂台 [86][87] 落地成果与行业认可 - 从今年6月发布至今，图龙锋累计发现漏洞超过1.5万个，500余家企业接入开展专项安全测试 [93] - 挖出的漏洞有的藏在Windows中长达5年，有的在Office里潜伏8年，相关成果获微软官方致谢 [94] - 2026年10月中国信通院公布首批漏洞挖掘智能体能力评估结果，图龙锋通过四大维度、12项能力要求，成为全国唯一通过该评估的产品 [96][97] 公司安全领域积淀 - 360目前是CNNVD国家信息安全漏洞库核心级技术支撑单位，累计向相关监管机构报送漏洞达百万级 [100] - 早在2018年，中央网信办官网文章即提到360已研发出自动漏洞挖掘系统，布局早于大模型爆发 [102] - 从当年世界冠军亲自上阵到AI徒弟登顶全球榜单，变的是挖漏洞方式，依靠的始终是安全专家二十多年攒下的真功夫，AI使这些本事具备大规模复制机会 [103]