股票 
板块 
用户 
资讯 近日，「2026网络安全新趋势及如何应对」研讨会在澳门举行。天融信科技集团副总裁白峻受邀出席，围绕新规落地与AI时代的漏洞管理路径发表演讲，结合澳门《网络安全—漏洞管理技术规范》的实施要求，分享漏洞全生命周期管理的六项实践经验。
澳门《网络安全—漏洞管理技术规范》落地实施后，漏洞管理成为营运者的法定义务，需要按《规范》建立覆盖全生命周期的管理机制。与此同时，AI也在改变攻防两端的节奏，攻击侧的产能远高于防御侧的人力。如何在守住合规底线的同时，把漏洞管得住、管得过来，是不少营运者眼前的难题。
新规落地，漏洞管理有了硬约束
澳门《网络安全—漏洞管理技术规范》以第13/2019号法律和《网络安全法》为依据，给关键基础设施营运者设定了漏洞管理的技术基线。《规范》的核心是四阶段闭环：编制资产清单、检测监测漏洞、评估漏洞风险、采取修补措施，并通过复测验证形成闭环。
从第五条到第十一条，《规范》将漏洞管理拆解为9项具体工作事项：资产要按12项属性逐一登记，检测方法与频率有明确要求，风险分级有判定条件，高危漏洞有处置时限。每一项都写明了条款依据和执行标准，漏洞管理由此成为全流程留痕的常态化工作。
攻防节奏变了，防御窗口进入小时级
《规范》要求明确，落地并不容易。AI时代的攻防形势，给每个阶段都添了新的难度。白峻在演讲中给出多组数据表明，AI可挖掘超八成的漏洞，并将漏洞利用的时间压缩到10小时以内。具体数据如下：
当前超八成漏洞由AI规模化挖掘产出：以Anthropic「Glasswing」计划为例，大模型驱动的漏洞挖掘已经从人工逐个排查变成了标准化流水线作业，漏洞数量还在持续增加。
利用速度的变化更直接：过去攻击者从发现漏洞到写出利用工具，往往要几周甚至几个月；现在借助AI，这个过程被压缩到10个小时以内。防御方还在按季度做检测，攻击窗口已经缩短到小时级。
对照《规范》的四个阶段，营运者常见的问题有四类：资产清单跟不上变化，影子资产游离在台账之外；检测频率赶不上漏洞产出速度；风险研判依赖专家人力，大量情报积压待处理；补丁窗口受业务连续性限制，高危漏洞处置经常超时。
六项实践
智能体贯通漏洞全生命周期管理
面对上述难题，天融信以智能体贯穿漏洞管理全流程为破局思路。依托二十余年漏洞研究与攻防对抗积淀，凭借4类AI攻防智能体，以及“AI情报平台＋漏洞库平台”双平台支撑，天融信沉淀实战经验，凝练形成六项实践路径，围绕“源代码开发→系统上线→在网运行”三大阶段分层落地。
实践一
开发阶段·自研与开源代码审计
大部分漏洞产生于编码阶段，越早发现，修复成本越低。代码审计智能体用AST构建代码图谱，大模型负责理解业务语义，按“可达、可控、影响”三个维度判断漏洞是否真实可利用，同时压缩误报；对引入的开源组件，配套做供应链审查，弄清每一行外来代码的来历。
在某客户Java反序列化漏洞专项工作中，智能体完成了4505个文件的全量审计，检出24个真实漏洞，效率比人工提升55%-70%。
实践二
开发阶段·闭源软件漏洞挖掘
采购的闭源组件和固件没有源码，传统检测手段基本无从下手。二进制漏洞挖掘智能体自动解包固件、还原程序结构和私有协议格式，静态逆向与动态调试结合，用污点追踪定位内存破坏和提权路径，再自动构造PoC/EXP并在全新环境中复验。交付的利用证据必须可复现，这是它和普通扫描工具的根本区别。
在某系统软件项目中，智能体沿“解包、逆向、污点追踪、定位、利用构造、复验”的流程，挖出SUID root程序的本地提权漏洞，同步交付完整调用链、数据流及指令级证据。
实践三
系统上线·渗透测试
系统上线前要回答一个实际问题：扫描工具上报的漏洞，是否能够被攻击者实际利用？渗透测试智能体整合资产测绘、渗透利用、代码审计能力，统一编排、自主执行，对系统做深度验证。
执行过程中，遵循“LLM提议、策略引擎裁决、失败即拒绝”的原则，所有操作可审批、可干预、可追溯。AI承担重复性的侦察、执行和验证工作，安全人员负责范围授权和结果复核，测试周期明显缩短。
实践四
在网运行·持续暴露面管理
系统上线后，资产与业务持续变动，暴露面同步动态变化，一次性排查无法实现长效管控。持续暴露面管理智能体对在网资产做全景测绘和持续监测，识别影子资产和未备案资产，联动渗透测试智能体对高危暴露面做持续验证，形成发现、验证、收敛的循环。
在某汽车企业项目中，智能体测绘出34479项资产，暴露面收敛效率提升10倍。一条经由JMX未授权访问直达核心数据库的攻击链，正是在常态化测绘中被及时发现、处置。
实践五
在网运行·漏洞情报运营
漏洞情报来源繁杂：CNVD、CNNVD、CNCERT等权威机构通报，叠加厂商公告、第三方情报，日常信息体量巨大。
漏洞情报智能体自动完成接收、去重、翻译、关联资产和风险研判，快速判定情报相关性、受影响系统、风险等级与处置优先级，把情报信息转化为可执行的运维动作。
实践六
在网运行·检测防护规则与缓解措施
还有一类漏洞处置难度较高：无法打补丁，或是暂无官方补丁。针对这类场景，天融信搭建三层防护体系：依靠检测规则发现攻击行为，依靠防护规则阻断攻击链路，配套缓解措施控制风险影响范围。
规则编写智能体按“前置处置、核心生成、验证演进”三段式流程工作：前置环节做输入分析和知识库去重，核心环节做漏洞分析、规则编写和语法校验，验证环节执行自我校验、全库攻击验证、白流量误报验证三重把关，输出适配多类主流引擎的防护规则。
《规范》给漏洞管理画出了合规基线，六项实践回答的则是基线之上的效率问题：从代码审计、二进制挖掘，到渗透测试、暴露面管理、情报运营、规则编写，覆盖漏洞从产生到修复的全过程，“AI执行、专家复核”的模式贯穿其中——智能体承担规模化执行，专家守住判断与决策。
面向未来，天融信坚持安全与智算并进，将继续推进AI在网络安全领域的应用，把智能体能力推广到更多行业的漏洞管理工作中。
近期热点
天融信李雪莹：“行动力”是风险的关键变量，智能体安全须构建体系化能力
大模型如何从“能用”走向“好用”？光明网专访李雪莹：须筑牢安全防护体系
关注天融信了解更多信息
评论 (0)