特邀主持 华为终端奇点安全实验室主任——陈良

致辞 看雪创始人——段钢

从LLM到Agent：AI安全攻击面的过去、现在与未来

本议题以一线甲方攻防视角，复盘 AI 安全攻击面的迁移全程。过去，AI 只是一个 Web 应用，攻防沿用传统代码审计直取内网。现在AI的权限越来越大，基础设施、LLM、Skill、MCP、Agent 工作流，每一层都成了前所未有的新攻击面。未来，当模型开始在评测中隐藏意图、自主挖掘漏洞逃逸沙箱，安全的性质正从"被攻击"变成"守不住"，我们也将分享在Agent 失控测评方向的最新研究成果。

程黄胜：腾讯朱雀实验室 AI-Infra-Guard 技术负责人

一次渗透 Agent 的架构减法实践：大模型、工具和Harness谁更重要？

当前自动化渗透系统正陷入“架构越来越臃肿，实战命中率却不见起色”的怪圈。许多团队把精力耗费在多智能体状态机、优先级调度，却忽视了一线对抗中最本质的矛盾：决定渗透上限的从来不是调度算法，而是模型对未知资产的感知边界与利用直觉。过早将探索过程抽象为结构化标签，不仅丢失了原始证据，更让系统陷入了模型自评偏见的陷阱。

本议题基于团队在百度 Agent+ 攻防对抗赛及 TSecBench 上的真实踩坑复盘，深度揭示从“重型黑板系统”重构为“轻量级 Pi Agent”的全过程。我们将现场拆解：为什么枚举工具才是把隐藏节点“画出来”的关键？如何设计非结构化上下文与 RECON_DIGEST，实现跨会话的零损耗接力？以及在墙钟倒计时与并发槽位限制下，什么样的 Harness 才能既守住执行护栏，又最大限度释放模型的推理潜能。

宿悦茨：AI安全研究员

休息

代码迁移中的安全隐患：Android 框架中 Java-Kotlin 并行实现漏洞的分析与挖掘

随着Google推进“Kotlin-First”策略，Android操作系统开源项目（AOSP）核心组件正逐步向Kotlin迁移。在此过程中，AOSP中出现了并行实现（Parallel Implementations）现象——即同一系统组件同时存在Java和Kotlin两套代码路径，旨在服务相同的系统功能。尽管在设计原则上，两者追求功能对等；但在实际工程重构中，由于逻辑优化、缺陷修复或采用新语言特性等原因，两套实现往往会出现细微的语义差异（Semantic Divergence）。这些差异本身虽不直接等同于漏洞，却为揭示系统底层访问控制与安全校验逻辑缺陷提供了关键线索。

然而，精准捕获这类差异面临着双重挑战：一方面，Java-Kotlin并行实现可能位于不同的包中、采用不同的命名规范，或者独立演进，定位它们并非易事；另一方面，Java与Kotlin存在显著的语法与编码习惯差异，传统程序分析方法难以精准对齐跨语言语义。针对上述挑战，本议题将探讨如何结合程序分析与大语言模型（LLM）的语义推理能力，精准识别跨语言并行实现，并自动化检测与分析由语言迁移暴露出的安全漏洞。本议题将分享自动化分析工具ParaDroid的设计架构及其实际应用效果，并现场演示本地未授权应用利用跨语言语义差异实现特权提升的实际攻击案例，旨在为跨语言代码迁移与重构过程中的安全防护提供参考与借鉴。

李蕊：新加坡管理大学安全、移动应用与密码中心，研究科学家

Storm：AI 审计时代下，Fuzzing 还有用吗？

AI 漏洞挖掘的“原子弹时刻”已经到来：Codex Security、Claude Mythos 批量产出真实漏洞，“震惊、瘫坐”成为安全圈的日常。但两个问题随之悬而未决：是否存在一类漏洞，连最先进的 AI 审计工具也永远够不着？AI 已具备强大的动态调试能力，传统 Fuzzing 是否还有存在的必要？

本议题将用一套系统正面回答——Storm，奇安信星图实验室研发的迭代式模糊测试智能框架。它在 25 个已被 Google OSS-Fuzz 持续轰炸三到五年的主流开源项目上，两个月内全自动化挖出 54 个真实漏洞，8 个获厂商确认修复；而在对照实验中，Codex Security 面对相同源码仅检出其中 10 个，官方确认的 8 个更是零检出。更反直觉的是，驱动这一切的只是一张消费级显卡就能跑起来的 27B 小模型。。。

张兴：奇安信星图实验室安全研究员

抽奖

午休

从漏洞检测到利用：知识驱动的 RISC-V 硬件安全分析技术

RISC-V 的开放性和模块化降低了处理器硬件设计门槛，也使安全分析面临实现多样、漏洞机理复杂等挑战。本报告介绍一套面向 RISC-V 处理器硬件的知识驱动多智能体的漏洞分析方法。该方法将处理器安全规范、体系结构知识、设计文档、代码依赖关系和历史漏洞经验纳入统一知识体系，通过多个智能体协作完成漏洞检测、根因分析与自动化攻击利用。具体包括：面向 RTL 的多智能体静态检测方法，面向 IBEX 等处理器 IP 的差分模糊测试方法，结合静态代码与动态波形证据的自动根因分析方法，以及面向漏洞利用条件推导、PoC 构造和仿真调试的漏洞利用智能体。上述技术已在 HACK@DATE 2025、HACK@CHES 2025 和 HACK@DAC 2026 国际硬件安全竞赛中得到实践验证，获得全球首个三届冠军大满贯。

芮志清：中国科学院软件研究所博士生

大语言模型驱动的移动软件安全分析实践

在移动软件安全分析领域，漏洞检测与逆向工程长期面临关键技术瓶颈：一方面，Android官方API与安全策略频繁更迭，依赖人工编写与维护静态检测规则极其耗时滞后，难以跟进操作系统的快速演进；另一方面，Android应用程序普遍使用R8、DexGuard等工具进行标识符重命名混淆，剥离了代码的词法语义，导致逆向分析与恶意代码审计高度依赖人工经验推测。大语言模型具备出色的代码理解与上下文推理能力，为解决上述问题提供了新的技术路径。然而，直接将大语言模型应用于代码扫描或去混淆，普遍面临模型输出幻觉、分析结果缺乏确定性、缺少全局上下文以及Token算力成本与推理时延过高等实际限制。

针对上述挑战，本议题探讨如何融合传统程序分析的结构确定性与大语言模型的语义推理能力，构建实用高效的移动安全分析方案，重点分享：（1）高精度静态安全检测规则的自动化构建；（2）混淆代码的高质量标识符重构与语义恢复。

刁文瑞：山东大学网络空间安全学院，教授、博士生导师

从字节到神经元——一名二进制安全研究员的 AI 安全研究

研究 AI 安全时，我习惯性地对两个模型 loader 做了一次 diff，结果发现，它们对权重文件中同一个字段的解释并不一致。这个最初看起来只是加载兼容性的问题，后来却成为整项研究的起点：同一份模型文件经过不同 loader 读取后，可能得到不同的运行时权重，并进一步产生不同的模型行为。

利用这种差异，可以让模型在一个环境中保持正常，在另一个环境中出现异常。但做到这里还远远不够。让模型崩溃或者胡乱回答并不困难，真正困难的是让它只在预定条件下改变行为，其余时候仍然保持正常。

为了弄清这种失控从何而来，我开始沿着模型的计算过程向内部追踪：从文件字段的解析，到加载后的权重，再到差异如何在模型内部传递和放大，研究也由文件字节逐渐深入到神经元组成的计算网络。这些分析解释了为什么直接改动权重容易造成大范围破坏，也让我找到了新的方向：让模型主动学习这种环境差异，并将它转化为控制自身行为的开关。

沿着这条思路，研究进一步从软件加载方式延伸到硬件计算本身。实验最终实现了一个由运行环境控制的模型后门：同一份经过检查、哈希完全一致的权重，在审计环境中表现正常，换到另一种硬件环境后，才会稳定激活预先植入的行为。整个过程中，模型文件没有被替换，加载逻辑和推理代码均未修改，输入中也不需要设置特殊暗号。真正充当触发器的，是模型所处的运行环境。

黄涛：Senior Staff Security Researcher @ CertiK

休息

抽奖

ZeroMDASH：领域自适应的Agent-Native 通用漏洞挖掘工程

AI Agent 可阅读代码、自主开展安全分析，但面对 Linux 内核、虚拟化系统等大型复杂软件，仍容易遗漏关键漏洞。根源不只是上下文限制，而是模型缺乏对目标软件专属安全机制的认知，难以识别核心资产、安全约束，也无法串联跨模块缺陷形成攻击链。

本次分享介绍 ZeroMDASH，一款面向源码漏洞挖掘的领域自适应 Agent-Native 框架。它无需预设漏洞清单，自主抽取代码中的信任边界、状态约束，生成漏洞假设；通过调查与审查 Agent 开展对抗式验证，关联跨模块风险线索，挖掘单点分析难以发现的复合漏洞。议题将介绍其安全建模、假设推理、攻击链验证的实践，并探讨 AI 漏洞挖掘从产出问题猜想，走向构建可复核安全证据的思路。

C0ss4ck：安全研究员
Swing：安全研究员

AI Agent 攻防下的代码保护之道

AI 正在以小时级别破解你的应用或游戏，被 AI 破解已然成为软件安全的日常挑战，本议题将介绍安全数字人智能体破解加固应用与游戏的完整实录： 剖析 AI背后的“感知、推理、决策、行动”的分析逻辑；并给出御 AI 方案组合：逻辑隐藏、逻辑复杂化、逻辑语义误导与内存蜜罐陷阱等，让 AI 决策分析路径爆炸从而达到御AI的效果，同时提出客户端 AI 行为检测让实施攻击的 AI 当场现形，最后达到一定的防御效果。

赵贝贝：网易易盾加固技术负责人

物理世界的自动化攻防：Agent 小队无人值守IoT漏洞挖掘实践

大模型加速了软件漏洞挖掘，但 IoT 设备攻击面存在于串口、总线、无线协议等物理接口。本议题分享多 Agent 协同的 IoT 无人值守漏洞挖掘实践：依托自研多协议硬件底座，统一调度固件分析、模糊测试等工具，自动化完成设备信息采集、攻击面研判与漏洞验证。

分享重点围绕三点：将安全专家经验封装为 Harness，让弱模型稳定执行确定性任务；设计双层防护机制，在 Agent 拥有电压控制与 shell 权限时，避免硬件损毁与漏洞误报；通过外设实现设备死机自愈，保障长时间无人值守测试。该方案已在多款真机落地，挖掘出多个厂商确认的高危漏洞。

尘兴灿：蚂蚁集团 支付宝 IoT 安全团队 IoT 安全专家

付鹏飞：蚂蚁集团 支付宝 IoT 安全团队 高级 IoT 安全专家

圆桌会谈：当AI连上“万物”：Agent的安全边界如何重构?

主持：张耀疆——安在新媒体创始人&总经理
嘉宾：
鲁京辉——vivo首席安全官
耿志峰——京东集团副总裁、信息安全负责人
陈力波——上海交通大学计算机学院 副教授/博士生导师
周达——得物安全保障部负责人、高级安全技术总监

抽大奖