9月23日，由云安全联盟大中华区、清华大学信息国家研究中心联合主办的2026 CSA大中华区大会暨AI+安全大会在清华大学主楼后厅举行。在大会主题演讲中，腾讯云鼎实验室攻防负责人李鑫以《AI时代智能攻防技术——范式变迁、现实瓶颈与演进路线》为题，结合前沿研究、公开评测和攻防实战观察，从攻击能力、评测体系、防守范式和未来演进四个方面，分析AI智能攻防的发展现状与关键瓶颈。

随着大模型推理能力和智能体工程持续发展，AI正在为网络攻防带来新的可能。李鑫指出，判断AI攻防能力，不能只看模型表现或演示效果，更需要回到真实环境、客观评测和可验证的工程实践。AI攻防的下一阶段竞争，不只是比模型有多强，更是比系统能否稳定完成任务、可靠验证结果，并在明确边界内运行。

过去一年，AI在网络安全领域的能力进展引发了广泛关注。对于红队而言，AI能够辅助开展漏洞研究、自动化执行部分任务，为攻防工作带来新的效率空间；而对于防守方而言，自动化攻击能力的提升，也意味着安全运营面临更大压力。

在李鑫看来，讨论AI攻击能力，首先需要厘清一个关键问题：漏洞挖掘能力，并不等于完整的渗透能力。漏洞挖掘通常聚焦于某个软件或系统中的具体缺陷，而渗透测试则是一项多阶段、长链路的任务。从信息收集、漏洞发现、漏洞利用，到权限提升、横向移动和结果交付，每个环节都需要持续探索、判断和验证。

即使AI能够在某个环节表现出色，也不意味着它能够稳定地完成整条任务链。当前AI在部分单点任务上的表现已经相当突出，但一旦进入多阶段、长链路的复杂任务，成功率仍会受到明显限制。随着步骤增加，前序环节的错误可能影响后续判断，失败风险也会逐步累积。因此，评价AI攻击能力，需要区分三个层次：能否发现问题、能否有效验证和利用问题，以及能否在多步骤任务中持续推进并完成目标。

这一差异也说明，AI智能攻防的发展不能仅依赖模型能力提升。模型推理能力需要通过工具调用、任务规划、状态管理和结果验证等工程机制，才能真正转化为稳定的实战能力。

如果说攻击能力决定了AI能做什么，那么评测体系就决定了我们能否准确判断它究竟做到了什么。李鑫指出，AI智能体的表现具有较强的场景依赖性。同一个系统在某个目标上可能完成得很好，换到另一个环境，表现却可能明显下降。因此，仅凭一次演示、一个排行榜名次，或开发者自己的评价，很难全面反映其真实能力。

当前智能攻防评测主要面临几类挑战。

第一，幻觉与假成功。智能体可能生成看似成功的描述或证据，但并未真正完成任务。如果评测只检查最终输出，而不核验实际结果，就可能高估系统能力。

第二，工具工程瓶颈。真实任务涉及工具使用、环境交互、失败恢复和多阶段协作，模型本身的能力并不能直接代表整个系统的表现。

第三，评测可靠性不足。 记忆残留、重复运行、任务环境差异等因素，都可能影响最终成绩。缺乏独立验证和完整过程记录时，排行榜容易出现与真实能力不相匹配的分数。

针对这些问题，李鑫强调，需要建立多维度、可复查的评测机制，通过真实环境测试、过程轨迹审查和结果验证，尽可能还原AI完成任务的实际过程。

腾讯云鼎实验室围绕智能渗透开展的评测实践，也体现了这一思路。通过搭建评测平台、积累智能体运行数据和任务轨迹，并引入自动审查与社区人工复核，可以更系统地观察不同模型、框架和工程方案的真实表现。评测的价值，不只是给AI排出名次，更是找到能力短板、识别失效原因，并为下一轮技术迭代提供依据。

为什么模型推理能力持续提升，智能攻防却没有同步实现全面自主化？李鑫在演讲中提出，关键因素之一是Harness工程——围绕模型构建的任务规划、工具调用、状态管理、记忆和验证机制。

在复杂渗透任务中，智能体需要持续记录已发现的资产、已验证的事实、当前权限、失败路径和后续待办事项。如果这些信息仅依赖对话上下文或自然语言摘要保存，就可能随着任务推进发生遗漏、失真或重复执行。因此，智能体需要的不只是更强的推理能力，还需要更可靠的工程架构。

让模型负责推理与探索，让确定性的工程机制负责状态约束、事实记录和结果校验。智能体架构并非越复杂越好，多智能体协作也不是所有场景的必然答案。面对不同任务，需要综合考虑任务耦合程度、并行探索需求、信息共享方式与协调成本，选择合适的架构。对于AI智能攻防而言，真正重要的不是简单叠加更多模型或工具，而是构建一个能够持续推进任务、准确保存事实、及时识别失败，并对结果进行独立验证的完整系统。

当攻击侧开始具备更强的自动化能力，防守侧也需要重新思考安全机制应如何演进。

李鑫在演讲中提出，传统安全长期处于“攻击变化、防御跟进”的动态博弈中：防守方不断增加规则和策略，攻击方则寻找绕过方式。如果安全建设始终停留在被动封堵已知特征的层面，就容易陷入持续投入、不断追赶的循环。AI时代的防守，需要进一步关注行为意图、自动化行动轨迹和系统运行过程。

随着智能体逐渐进入操作系统、业务系统和安全运营流程，防守对象不再只是传统意义上的程序或用户行为，还包括能够理解指令、调用工具并持续执行任务的AI智能体。这使得防守机制需要同时考虑智能体的行动范围、权限边界、行为模式与执行结果。

演讲还提到了欺骗防御在AI时代的应用潜力。传统蜜罐等技术主要用于观察和诱导攻击行为，而面对AI智能体，经过设计的诱饵信息和交互环境，也可能帮助防守方观察其行为路径、识别异常意图并形成行为画像。

与此同时，AI也为漏洞运营带来新的机会。演讲指出，AI在漏洞复现和事实核查等环节具有应用价值；在流程设计合理的情况下，可以让AI承担部分重复性验证工作，由人类专家进一步判断漏洞价值与处置优先级。通过统一入口和过程留痕，还可以更好地观察自动化测试行为，及时发现越界操作并进行止损或告警。这些实践指向同一个变化：安全防御需要从单纯识别攻击特征，逐步走向对智能体行为、行动意图和执行过程的持续观察与管理。

AI正在改变网络攻防的技术路径，也在重新定义安全团队的工作方式。面对AI能力快速迭代，既不应被个别技术演示过度影响判断，也不能忽视自动化能力持续进步带来的现实变化。更重要的是，建立客观评测、理解能力边界，并以工程机制将AI的潜力转化为可持续的实际能力。

从单点漏洞发现到完整任务链，从模型排名到真实环境评测，从传统特征封堵到智能体行为识别，AI时代的智能攻防正在经历从工具辅助走向系统化演进的过程。真正成熟的智能攻防，不仅要能够发现问题、完成任务，更要做到过程可追溯、结果可验证、行动有边界。

在“智序·本体：为可信智能时代筑基”的主题下，智能攻防的技术演进与安全治理同样重要。只有将能力提升、工程可靠性与安全约束协同推进，才能推动AI更稳健地融入网络安全实践，为可信智能时代构建更加坚实的安全基础。