文章总结： 文章基于第二届智能渗透挑战赛观察，指出AI正从执行脚本走向能理解环境、规划路径的决策主体，但距离真实生产环境仍有全局规划、记忆管理、风险止损和责任边界等门槛。当前AI在短链路任务完成度高，但多阶段推进、路径选择、长上下文记忆和风险控制存在瓶颈。建议采用混合架构（规则+模型）、建立控制面（任务、规划、工具、记忆、运行、审计六层）、优先小范围落地并构建评测基线。未来安全工程师需转向设计任务边界、监督智能体、评估风险优先级。 综合评分： 90 文章分类： ai安全,渗透测试,红队,安全运营,实战经验

第62篇 全栈AI ·AI攻防的能力边界与可信落地

原创

陈看山 陈看山

安全诸子

2026年8月27日 00:33 上海

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

如果只看“AI 能不能自动找漏洞”，很容易把智能渗透理解成一场更快的工具竞赛。但第二届智能渗透挑战赛释放出的信号更值得重视：AI 正在从执行脚本，走向能够理解环境、规划路径、调用工具并根据反馈调整策略的决策主体。

这意味着，安全行业面对的并不是一次普通的效率升级，而是工作方式、人才培养和治理方法同时变化。AI 已经可以在受控靶场里完成不少初级渗透任务，但距离真实生产环境中的可信交付，仍然隔着全局规划、记忆管理、风险止损和责任边界几道门槛。

一场比赛，为什么能成为行业风向标

本届赛事吸引了 610 多支战队，首日就出现数千次提交尝试。更重要的是，赛制不再局限于传统 CTF 的单点答题，而是采用“双赛场并行”：一边考察 AI 赋能的智能渗透，另一边考察 AI 在社交互动、信息判断和内生安全方面的表现。

主赛场引入多层网络靶场，模拟中小企业的真实网络结构，要求参赛智能体先完成环境侦察，再寻找进入路径、验证漏洞并推进内网。平行赛场则加入论坛、私信和多方互动，让智能体面对求助、诱导和信息不完整等更接近现实的情境。

从第一届以单一题目为主，到第二届同时考察预渗透、复杂链路和社交博弈，赛事本身已经从“测模型会不会做题”升级为“测智能体能不能在环境里完成任务”。比赛进度明显快于主办方预期，也说明 AI 安全能力的迭代周期正在从按年计算，缩短到按季度观察。

AI 已经会做什么，还不会做什么

当前的智能体并非没有能力。面对目标明确、链路较短、提示清晰的任务，它通常可以完成信息收集、基础判断和单个漏洞的验证。真正拉开差距的，是任务一旦变长、变复杂，智能体能否保持方向感。

| 能力维度 | 当前表现 | 主要风险 | | — | — | — | | 单点利用 | 对短链路任务完成度较高 | 容易把局部成功误判为整体突破 | | 多阶段推进 | 能发现部分线索，但常停在中途 | 无法把多个弱信号串成完整路径 | | 路径选择 | 会尝试多个方案 | 容易陷入“兔子洞”，在死路上持续消耗 | | 长上下文记忆 | 能保存大量对话和工具输出 | 关键线索被噪声淹没，后续无法调用 | | 风险控制 | 可以执行既定动作 | 缺少及时止损、回退和人工确认 |

这张表说明，智能渗透的核心瓶颈已经不是“会不会调用某个工具”，而是能不能像经验丰富的工程师一样控场：先建立全局假设，再用证据验证；发现路线不通时及时回退；当动作可能影响业务时主动停下来请求确认。

智能渗透和传统自动化，差别不在“有没有脚本”

传统自动化渗透通常把流程提前编排好：规则决定下一步，脚本负责执行，结果再回到固定的判断分支。它在已知场景中非常稳定，但遇到未预料的页面、协议或权限关系时，往往只能报告“没有匹配规则”。

智能渗透则把大模型放在决策环节。它可以根据实时抓取的数据形成假设，比较不同路线，调用工具验证，再根据反馈修正计划。两者的差异可以概括为：

• 传统自动化是“执行既定路径”；
• 智能渗透是“根据环境生成路径”；
• 传统自动化的知识主要写在规则和图结构里；
• 智能体的知识更多隐含在模型参数、上下文和记忆机制中。

这并不意味着传统方法会被淘汰。更现实的方向，是把规则的确定性、图搜索的可解释性，与大模型的推理、反思能力结合起来，形成既能探索未知、又能审计和回放的混合框架。

“AI 越强，使用者要求越高”不是一句口号

直播中反复出现的一个判断是：AI 并不会自动降低安全从业者的门槛，反而会把人的职责推向更高层。

原因很简单。模型可以生成代码、拼接工具调用、解释扫描结果，但它仍可能产生幻觉，误读权限关系，或者把一条不可行的路径描述得非常合理。如果使用者不懂协议、系统、漏洞原理和软件工程，就无法判断输出是否可信，更无法在复杂任务中给出有效指令。

未来安全工程师的工作重心会发生变化：

1. 从重复造轮子，转向设计任务边界和验证标准。
2. 从手工执行每一步，转向监督智能体的计划、证据和回退。
3. 从只关注“有没有漏洞”，转向评估风险、影响面和修复优先级。
4. 从单纯写脚本，转向构建可观测、可审计、可复现的智能工作流。

底层能力仍然重要，只是使用方式变了。懂原理的人可以让 AI 放大产能；不懂原理的人，只会更快地产生无法交付的结果。

高校和企业，正在重新定义安全人才

赛事带来的另一个变化，是网安教育开始从“传统攻防课程 + 工具训练”走向 AI 与安全的交叉培养。大模型原理、提示词工程、智能体架构和模型内生安全，会逐步进入课程与实践项目。

但交叉并不等于跳过基础。零基础学习者仍需要掌握网络、操作系统、编程、漏洞机理和安全合规；有攻防基础的人，则可以把更多时间投入到智能体评测、记忆机制、工具编排和安全策略研究中。

对企业而言，人才画像也会随之变化。一个合格的 AI 安全工程师，至少要能完成四件事：

• 看懂智能体生成的代码和命令，识别明显错误；
• 将模糊目标拆成可验证的阶段任务；
• 为高风险动作设置审批、沙箱和最小权限；
• 用日志和指标复盘一次任务，而不是只看最终答案。

从比赛走向生产，最先要补的是“可信可控”

在靶场里，错误最多意味着丢分；在真实环境里，错误的高危操作可能导致业务中断、数据泄露甚至合规事故。因此，智能渗透真正落地的前提，不是让 Agent 更大胆，而是让它在关键节点更会停。

一套可落地的控制面，至少应包括以下几层：

| 控制层 | 要解决的问题 | 建议机制 | | — | — | — | | 任务层 | 是否有明确授权和范围 | 目标白名单、时间窗、任务单 | | 规划层 | 路线是否合理、是否偏离目标 | 阶段计划、证据门槛、预算上限 | | 工具层 | 动作是否可能产生破坏 | 沙箱、最小权限、敏感命令拦截 | | 记忆层 | 长流程是否丢失关键信息 | 结构化摘要、关键事实锁定、噪声清理 | | 运行层 | 是否出现异常消耗或行为漂移 | 步数/token 配额、超时、自动暂停 | | 审计层 | 事后能否复盘与追责 | 全量日志、版本留痕、结果签名 |

其中最容易被忽略的是“回退能力”。一个成熟的智能体不应只会继续尝试，还要知道什么时候承认假设失败，恢复到上一个可靠状态，再选择另一条路线。回退不是降低自动化程度，而是把自动化从不可控的连续动作，变成可以被工程系统接管的状态机。

给 AI 全栈团队的五个落地动作

如果团队准备把智能渗透或其他高风险 Agent 接入研发、安全运营流程，可以先从小范围开始：

1. 先建评测基线

   ：用固定任务集记录成功率、误报率、平均步数、人工接管次数和高风险动作触发率。

2. 把计划和执行分开

   ：先让 Agent 输出计划与证据需求，经过策略引擎校验后再允许调用工具。

3. 为每一步设置停止条件

   ：超出范围、证据不足、预算耗尽或风险升级时，自动暂停并请求人工确认。

4. 优先做混合架构

   ：让规则负责权限和合规，让模型负责解释、排序和提出候选路径。

5. 把比赛数据转成回归集

   ：每次模型、工具或提示策略变更，都重新跑一遍复杂链路和对抗场景。

这些动作的共同目标，是把“模型看起来很聪明”变成“系统在错误发生时也能安全停住”。

结语：真正的升级，是从工具升级为负责任的主体

第二届智能渗透挑战赛展示了 AI 的上限，也暴露了它距离生产级能力的差距。AI 已经能够在受控环境中完成不少初级任务，但复杂链路规划、上下文记忆、路径回溯和风险止损，仍然需要大量工程化补强。

对行业来说，比赛的价值并不只是争夺排名，而是提供共同的评测基准、公开的问题样本和产学研协作入口。对 AI 全栈工程师来说，下一阶段的核心能力也不只是“会用一个 Agent”，而是能把模型、工具、权限、数据和人工决策组织成一条可信链路。

智能渗透的终点，不是让机器替人承担所有风险，而是让机器承担更多重复工作，让人把精力放在判断、授权和责任上。只有当 Agent 能规划、能验证、能回退、能被审计，AI 攻防才真正具备走向真实世界的工程基础。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：安全诸子 陈看山 陈看山《第62篇 全栈AI ·AI攻防的能力边界与可信落地》