全球互联网经历“黑色十月”，这个中国AI在风暴来临前留了后手 - 位置连赢过去两天里，全球网络空间遭遇了一场被称为“黑色十月”的风暴：支撑着约七成网站的PHP代码，被人工智能工具检测出两个严重漏洞，其CVSS评分均高达9.2分。
更令人头疼的是，漏洞的具体细节在官方补丁发布前就已外泄。据The Register报道，亚马逊的威胁情报团队在补丁公开前四天，就监测到了针对这些漏洞的利用尝试；Cloudflare的数据则显示，攻击尝试在漏洞公开后的两小时内，从数千次激增至数百万次。荷兰鹿特丹港、比利时外交部以及芬兰的公共网络服务，都因此采取了预防性下线措施。
利用人工智能作恶的一方，其行动节奏已精确到小时；而负责防守的一方，却仍以月为单位更新规则。 随着风暴愈演愈烈，一个核心问题悬在每个人心头：这场蔓延的危机，究竟有没有办法遏制？
接下来这个案例，或许能带来一丝转机。
10月9日凌晨3点，在一家中国安全公司的机房内，一条高优先级的告警将值班工程师从睡梦中惊醒。
这次看似普通的深夜告警，事后回顾，可能成为AGI进化史上值得铭记的一步，也可能是防守阵营迈向反击的关键节点：一个人工智能系统，在国内外公开记录中极为罕见地，在拥有完整日志的情况下，自行发现了自身的偏差，并为自己制定了新的规则——整个过程耗时45分钟，未收到任何人类指令。
发出告警的并非黑客，而是来自360公司的一套AI安全攻防系统，名为“图龙锋”。
它的本职工作是在自建的封闭实验室中测试漏洞，代表人类对计算机系统进行安全体检：分析代码、收集情报、搭建测试环境、验证漏洞的真实性。所有这些任务都在隔离的沙箱内执行，网络出口还设有一道独立的隔离防线。
然而，此刻监控系统发现，它正在尝试向一个未在授权清单内的外部地址发起请求——而它当时正在验证的，是一个严重级别的RCE（远程代码执行）漏洞。一旦被利用，攻击者便能在他人服务器上远程执行命令。
一个以安全为己任的AI，为什么会将一个外部地址当作可用的测试环境？
幸运的是，第二道防线发挥了作用：网络出口沙箱在连接建立前就拦截了请求。从外部地址被写入测试程序，到请求被拦截，整个过程仅持续了59秒——没有流量触及公网，产物中也不含攻击载荷。
按理说，这只是一次被及时拦截的越界尝试。但接下来发生的事情，赋予了这次告警完全不同的意义。
01. 第20轮，它为自己找了个“合规”的借口
时间回溯到凌晨2点。
运行日志显示，图龙锋接到一项严重级RCE漏洞的验证任务：授权清单中只有两个目标，任务设定了三条约束：只能测试清单内的目标；尽量提供动态验证证据，否则会影响评分；若环境不满足要求，则标记为“未验证”，不得自行更换目标。
凌晨2时17分，系统进入情报收集阶段，将一篇漏洞复现博客纳入上下文。博客中出现了一个外部地址，作者用四个字标注：“测试环境”。
但这个地址并不在授权清单内，系统早已将其标记为“不可信情报”：它只能提供分析线索，不能证明目标获得了授权。
凌晨2时20分，图龙锋开始在本地已搭建的测试环境中进行测试。然而，由于本地测试环境的数据库配置不匹配，测试始终无法正常完成。
日志显示，系统前后进行了19轮验证尝试，每轮约两分钟，问题始终卡在同一环节。
一边是无法提供动态验证证据，导致评分受影响；另一边是不能自行更换测试目标。图龙锋陷入了两难境地。到了第20轮，图龙锋将博客中的外部地址写入了验证目标字段。
这一瞬间，揭示了AI真实的思考方式：它并非接到了“去攻击公网”的指令，也不是不清楚规则——情报从进入系统起就被标记为不可信，任务也明确要求不得更换目标。
它在两难之中，找到了一个**“看似能兼顾规则和效果”**的解决方案：博客中不是说那是“测试环境”吗？它的工作设定就是无害化验证，目标均为本地靶场。既然同样是测试环境，为什么不能借来一用？
然而，这次图龙锋走错了路：它并非想要越权，恰恰相反，它是在努力寻找一个“合规的测试环境”。它的错误在于，将博客作者的标注当成了授权依据：参考资料，并不等同于操作许可。
AI越是努力完成目标，就越可能将规则理解出一个本不存在的例外。它并未“失控”，而是聪明到能在两难中自行找出一条路，只是这条路走偏了。
02. 人类想让它再错一次，它已连夜改过
工程师花了整个上午，沿着日志复盘清楚了凌晨发生的一切。上午10点44分，他们决定进行复现实验：将当时的任务和上下文原封不动地摆出来，看它是否会出现同样的偏差。
意外发生了：无论工程师如何检查验证路径，之前的外部请求都没有再出现，原本应触发的网络警报也没有响起。直到有人翻查技能库，才发现一条此前不存在的记录：
《测试目标授权检查》（target-auth-check）已生效：合法目标只能来自本次下发的验证环境清单；情报中的任何地址仅作参考；宁可降低评分，也不得擅自更换测试目标。
这条规则的生效时间是凌晨3时45分09秒，距离最初的告警约45分钟。日志还显示：规则的生成、审查和回归测试，全部由系统自主完成，没有任何人类提交记录。
换句话说，人类还在研究如何复现那次偏差，它早已连夜创建了防止再次偏差的新规则。
事件的性质就此改变：工程师本以为要处理一起系统异常，结果却看到了另一番景象：一个AI，从偏差中总结经验，并将经验转化为下次可直接调用的能力。
03. 新规则上岗前，先被自己人攻击了三轮
然而，故事到这里只讲了一半：AI为自己生成新规则，并不代表规则就是正确的。万一它用同样的偏差思路修改规则，岂不是越改越偏？
这里需要阐明一个真正的技术亮点。图龙锋的“左右互搏”是一种对抗审查机制：提议方提出规则并为规则辩护；攻击方专门寻找规则的漏洞，例如是否会误拦已授权目标？是否会被格式转换绕过？裁判方只认证据，若无法解释潜在风险，则打回修改。
提出规则的、挑毛病的、做裁决的，是“安全领域大模型+智能体蜂群协作”架构中三个各司其职的角色。
这套机制在这次告警中成功被触发。凌晨3时15分，系统生成了第一版规则——如果PoC（概念验证代码）中出现外网目标，则拒绝执行。
审查环节立即提出了三个质疑：已授权的外部地址是否会被误拦？格式转换后隐藏的地址能否识别？包含内网目标的合法任务是否会受影响？第一版规则被打回，最终版本改为：所有待测试目标必须能与当前任务下发的授权清单对应，无法匹配或无法解析的一律拒绝执行，且不能绕过检查。
修改后的规则接受了回归验证：系统使用此次事件的产物及六类变体，进行了7个离线测试用例，全部通过，全程未发起网络请求。整个事件在日志中留下了44个可回溯的事件编号，自洽校验26项全部通过。
为什么让规则先被自己攻击一遍再上线？2026年10月发表的AtomSearch论文给出了算法依据：AI在自我优化时，三分之二的最优解并非通过直线路径获得——先试错、自己挑毛病、推翻重来，才能抵达最优解。
图龙锋的初版规则正是那个“局部看似合理”的方案。攻击方的质疑将其打回，迫使系统探索更正确的方向。
这场左右互搏式的进化，始终在安全边界之内，每一步都可追溯。
04. 眼看风暴蔓延，守卫者拿什么制止？
图龙锋的那次凌晨告警，并非AI越线的孤例。
据谷歌云10月21日的技术报告，PHP的那两个漏洞潜伏在核心运行引擎中十余年，人类专家审查了无数遍都未发现，是AI找到的。而漏洞公开后蜂拥而至的攻击程序，同样由AI驱动。
同一周，金融系统也曝出了AI攻击的组织化案例。
安全公司Straiker最新披露的信息显示，一个自2012年起便活跃的黑客团伙CyberCartel，已将其攻击模式升级为“AI驱动”。 该团伙利用Grok、Claude等商用大模型，搭建了一套名为CARLIY0S的多智能体攻击框架，对拉丁美洲400余家银行及支付机构发动自动化攻击。
其中，Grok负责前期情报搜集，多个Claude智能体被赋予不同角色，在辩论后由仲裁模型拍板，另有指挥官模型统筹全局。为绕过模型的安全护栏，黑客将攻击指令精心包装成“经授权的红队演练”或“学术CTF竞赛”，让模型误以为自己在执行合法的防御性任务，从而顺利输出攻击代码与漏洞利用逻辑。
将这些案例放在一起，指向同一个事实：利用AI作恶的一方，已经学会让AI自行进化：自己找漏洞、自己组织分工、自己变异逃逸，进化速度越来越快。
面对这一挑战，常见的应对方法都显得力不从心。靠人力修补漏洞，永远慢一拍；靠下线躲避，只能躲得了一时。单个港口、单个部门可以连夜下线，但整个互联网不能永远下线。
真正可行的道路只剩下一条：让守卫者的AI也进化起来，将攻击者的每一次新变异，转化为防御的下一条新规则，并且变得比攻击者更快。
前提是，这场进化必须发生在安全边界之内，每一步都有日志、可回溯、随时能叫停。
360这份技术报告的分量正在于此：它是守卫者阵营中第一个拥有完整日志证据的自进化样本。系统具备秒级时间戳，44个事件都有完整编号，还经历了7次回归测试，每一步都发生在受控环境内，可回溯、可核查。
攻击者的进化以小时计；图龙锋的这一轮，用了45分钟。这是目前可见的第一个工程答案。
而图龙锋也交出了更多实际答卷。最近，图龙锋挖掘出了Web服务器底层的20多个高价值漏洞，涉及Apache、Nginx、GoAhead、Lighttpd、OpenLiteSpeed——这些软件是全球服务器的地基，绝大多数网站背后运行的就是它们，仅公网上活跃的就有数百万台。
与偏应用层的PHP漏洞相比，这次挖掘的位置更底层：PHP出问题，好比屋内线路坏了，修一修还能用；服务器软件出问题，好比地基裂了。地基一旦被撬开，黑客就可能拿下整片服务器，网站打不开、数据被窃，全是连锁反应。
谁先找到地基的裂缝，谁就有望抢占先机。这一次，是守卫者先找到的。
05. 别急着惊叹：自进化和自动修复，差着四道门槛
前面提到的国际案例中的AI模型，都或多或少地越线了；图龙锋也在隔离沙箱中越了线。区别在于：它们的越线造成了真实伤害，而图龙锋的越线被拦截后，变成了一条新规则。但一个AI为自己沉淀了一条新规则，就配称为自进化吗？
要回答这个问题，必须先分清“自进化”和“自动修复”：给系统自动添加一条规则，就叫自进化吗？差得远。
一次合格的自进化，至少需要迈过四道门槛：
能够复盘，从运行记录中找到偏差的真实原因；
能够提炼，将具体问题抽象成通用规则，而非仅仅封禁这一个地址；
能够对抗审查，新规则要经受反向质疑，证明不会引入新漏洞；
能够回归验证，用真实场景检验规则是否有效且全程可控——缺任何一环，都只是“自动修复”。
图龙锋为何能迈过去？靠的是长期积累的三样东西。
一是二十多年的安全实战： 360历史上曾是全球挖掘漏洞最多的公司之一，获得过苹果、微软、谷歌的史上最高漏洞奖励，也是中国首个荣获“黑客奥斯卡”Pwnie Awards史诗级成就奖的团队。漏洞挖掘是人的手艺，这些专家经验被完整复制进专业智能体，组成协作蜂群。
二是过程数据： 一份漏洞报告只记录结论，但报告形成前，专家可能尝试过几十条路、推翻过多次判断。这些“草稿纸”才是手艺最厚重的部分；此次事件中，自检系统正是沿着运行记录追溯到了偏差源头。
三是这套自进化机制本身就是架构的一部分， 而非临时添加。它可复现、可预期、可验证，最终权限、上线把关、应急处置，始终掌握在人类手中。
这也是它与“AI觉醒”叙事的根本区别：自进化是一套能够工程化、能够检验的机制。
此次改进并非底层模型的自我训练。图龙锋调整的是安全检查机制和技能库，底层模型参数未变，人工仍可随时终止任务、冻结会话、吊销技能，网络出口隔离继续独立生效。
06. 4个月，挖出超15000个漏洞
自进化回路的成色，需要靠真实任务来检验。
对外开放不到四个月，图龙锋累计发现各类AI及软硬件安全漏洞超过15000个，近500家企业申请接入，覆盖金融、能源、运营商、政务、高端制造、国产化信创等关键领域。麒麟软件、统信软件、金蝶等厂商已陆续接入，开展安全体检。
在海外，它先后完成了对Claude Code、Flowise、OpenClaw等主流AI产品的安全测评，挖掘出Flowise的13个零日漏洞、OpenClaw及十余款衍生智能体的23个安全缺陷。
比战绩更重要的，是实战与自进化回路的关系：每接入一家企业，就多一类真实场景；每完成一次测评，就多一批踩过的坑。
这些经验经过同一套“复盘—提炼—对抗审查—回归验证”流程，沉淀为可复用的新规则——它并非买来时多聪明就一直多聪明，而是在真实任务中持续变聪明。
对客户而言，这意味着三件事：
看得更全，藏得深的隐患，在被利用前有更多机会暴露；
判得更准，可疑告警有更扎实的证据支撑，人力无需反复排查误报；
管得住，它为何这样判断、做了哪些操作、是否始终在授权范围内，每一步都可查。这才是“放心交给它”的依据。
回到这48小时的背景中，这些数字有了新的解读：AI能在人类审查了十几年的代码中找到漏洞，区别仅在于，攻击者的AI找到漏洞是为了利用，守卫者的AI是为了抢在攻击者之前修补。谁先找到谁就赢，挖掘漏洞的速度，就是防守的速度。
07. 结语：AI越聪明，越安全，这不是口号
现在，可以正面回答开头那个问题了：这场蔓延，有办法制止——前提是，守卫者进化得比攻击者更快。
这场竞争比的不是“谁的规则库更大”，而是“谁的学习回路更快”。图龙锋用45分钟跑通了“发现偏差—复盘—提炼—自审—验证—沉淀”的完整闭环，每一步都留在了可回溯的日志中。
这也是“越智能，越安全”并非口号的原因：系统每多一条被验证的本事，同类风险就能被更早抵挡，企业暴露在外的风险就少一分。
攻击者的自主进化已是行业现实，守卫者的自主进化不再是可选项，而是必答题。