中国网络安全代理竞赛需要靶场检验，口号对标不够

截至 2026-07-05T22:36:15Z UTC，阅读中国最新网络安全智能体故事，更清楚的入口并非“360 是否已经追平 Anthropic 的 Mythos”。真正该问的是：当一个漏洞发现智能体、一个防御响应智能体和一个长周期编码模型开始汇入同一条安全工作流时，哪些材料才算证据？

2026-06-24，360 发布周鸿祎在 ISC.AI 2026 演讲的全文，介绍了两项 AI 安全能力：用于自动化漏洞发现的图龙锋，以及用于自动化网络防御和事件响应的仪天阵。同一篇帖子还宣布了“磐石之盾”安全协作计划，合作方覆盖芯片、操作系统、数据库、云、大模型、算力和安全产业伙伴。[1] 英文二手报道把这次发布写成中国对 Mythos 的回应，同时也提醒，最强能力主张仍然很难从公司外部核验。[4][5]

因此，本文更适合写成基准札记，发布摘要容不下这个问题。有效问题不在会议口号是否有力量，而在主张中的能力能否经得住评测边界：目标来源、漏洞确认、利用阶段、工具预算、prompt 预算、误报率，以及从发现进入修复或防御的交接方式。

一张 ISC.AI 2026 会议真实照片，画面中大型会场屏幕展示中国 Mythos 式漏洞发现智能体相关内容。 — ISC.AI 2026 是这个基准问题的合适视觉现场：网络安全智能体主张以产业发布的形式进入市场，真正的评测问题却在屏幕背后。[1]

图像说明：封面使用 360 社区 ISC.AI 2026 演讲帖中的真实照片。它不是图表、统计图、生成图像，也不是抽象网络安全插画。[1]

发生了什么变化

新的公开材料属于一场带有详细战略演讲的供应商发布，尚未达到开放基准形态。周鸿祎把图龙锋描述为 360 的“中国版 Mythos”路线，并表示公司并非只靠一个巨型基础模型取胜。其设想中的技术栈，把模型能力、安全经验、漏洞知识库、智能体工具和多智能体协同放在一起。[1]

数字很醒目：360 称图龙锋已经发现 3,432 个漏洞，其中 105 个获得监管确认，多个漏洞被国家漏洞库定义为高危漏洞。[1] TechRadar 重复了这些数字，同时补上重要限定：模型能力无法从外部独立验证。[5] SC Media 的简报也把这次发布概括为一套双智能体系统，其中图龙锋面向漏洞发现，仪天阵面向防御和事件响应。[4]

更强的 China-AI 信号来自架构主张。360 的说法是，国产网络安全智能体系统可以把二十年的安全运营、漏洞报送、安全数据、专家流程和智能体编排做成专用系统，用这种方式补偿基础模型差距。[1] 这是中国 AI 中常见的一条路径：前沿模型竞赛尚未尘埃落定时，产品团队会在数据、工作流、垂直工具和部署伙伴关系上寻找胜点。

基准边界

需要谨慎，是因为“发现漏洞”本身并不是基准。漏洞发现主张只有在读者知道目标语料、目标属于公开还是私有、训练数据是否与测试目标重叠、重复项怎样处理、确认标准是什么、是否在封闭环境中展示可利用性之后，才会进入决策级证据的范围。

AgentCyberRange 展示了更严格框架的形状。arXiv 论文介绍了一套开放网络靶场评测，包含 110 个漏洞、15 个真实 Web 应用、8 个类企业靶场，以及 156 台内部主机。它把 Web 利用和后利用阶段分开，在匹配的 prompt 与预算下评估 6 个前沿 AI 系统，并分别报告有无具体提示时的结果。[3] 这并不让 AgentCyberRange 成为网络安全智能体的最终答案，却展示了在自主性、利用行为和内部攻陷等主张可比较之前，需要怎样的评测容器。

这条边界对图龙锋很重要，因为漏洞发现是一段分阶段流程。找到可疑代码路径，和产出可靠的可利用性证明，是两件事。产出可利用性证明，和把它武器化为利用链，也是两件事。把利用链武器化，和负责任地分诊、上报、修补并监控暴露窗口，仍然是两件事。基准需要说明它测的是哪一个阶段。

这也同样关系到仪天阵。自动化防御很难用一个标题数字概括，因为价值会来自分诊压缩、遏制速度、告警关联、补丁优先级、回滚纪律，或者人类审批质量。如果防御智能体真实存在，最强证据不会是一句“它是一支团队”，而会是事件重放结果：它多常找到正确根因，多常避开破坏性动作，多快生成经验证的遏制方案，以及它把工作交给人工操作员时是否清楚。

为什么 GLM-5.2 也属于同一篇札记

Z.ai 的 GLM-5.2 不是狭义网络安全模型，但它应该进入同一张评测图，因为网络安全智能体工作越来越像长周期工程工作。Z.ai 官方文档围绕可用的 1M-token 上下文窗口、项目级工程上下文、更强的长任务执行、function calling、structured output 和长周期编码基准来描述 GLM-5.2。[2]

这些能力和网络安全运营相邻。漏洞智能体需要阅读大型代码库，保留架构约束，调用工具，检查日志，跨文件推理，生成测试或证明，并避免丢失早前证据。防御智能体需要维持时间线，解析嘈杂信号，记住权限，并以可审计顺序执行步骤。长上下文和 agentic coding 不能证明网络安全能力，却让评测问题更急迫，因为模型已经能够更长时间停留在复杂工作流内部。[2]

这就是中国基础模型故事与 360 垂直智能体故事之间的连接。GLM-5.2 这类通用模型抬高了长周期编码与工具使用的上限。安全公司随后试图把这类能力包进领域数据、利用知识、沙箱和运营流程中。最后产出的系统不该按聊天机器人来评估，而应按受约束的安全系统来评估。

怎样阅读 3,432 这个数字

在分布可见之前，3,432 个漏洞这一数字适合作为方向性信号。它的含义会随着纳入范围而变化：开源包、专有伙伴代码、二进制目标、已知脆弱训练夹具、内部复现漏洞，或者监管确认报送，都会导向不同解释。严重性分布、重复处理、确认耗时和误报流失，也会改变这个数字的意义。

105 个监管确认漏洞更有价值，因为它指向外部确认路径，但这里仍缺少分母。一份高质量发布应该拆开已提交、已接受、已拒绝、重复、高危、已修补、已公开披露等类别。它还应说明从智能体报告到人工验证、从验证到修复的中位时间。缺少这些分母时，这个数字能显示事情的严肃性，尚不能证明可复现性。

更有意思的是 360 的多智能体工程姿态。演讲描述了一套流程：智能体分工、威胁建模、检查攻击面、跟随跨文件数据流、生成利用代码、搭建沙箱，然后测试问题究竟是已确认漏洞还是单纯疑点。[1] 如果这条流程配有强隔离和审计日志，即便还没有达到前沿实验室对标水平，也会有用。如果它主要是普通扫描加模型生成解释的叙述包装，基准缺口会很快显现。

什么能让它进入决策级证据

第一项要求是可复现靶场。可信的公开评测应当在一组语料上测试系统：目标隐藏、来源写清、训练集无重叠，并同时覆盖源码和二进制任务。它还应报告确切工具环境、模型版本、prompt 预算、运行时间限制、提示政策和人工介入规则。AgentCyberRange 在这里的价值，与其说是竞争排行榜，不如说是一个模板，用来把进攻阶段拆开并接受检查。[3]

第二项要求是确认纪律。对漏洞发现而言，核心指标应落在“去重和误报剔除后，单位时间与算力内确认可利用的发现数量”。对防御而言，核心指标应落在“清楚的人类审批模型下，解决或遏制了多少经验证事件”。重要单位是工作流可靠性。

第三项要求是安全核算。网络安全智能体评测应说明系统被允许做什么、被阻止做什么、利用代码生成是否进沙箱、密钥怎样处理、日志怎样留存，以及报告如何进入协调披露流程。一个能发现漏洞却无法治理的模型，会成为负债，而不是产品。

第四项要求是比较清晰度。如果 360 希望 Mythos 对照超出修辞层，就需要共享任务定义，或至少清楚说明任务定义为何不同。否则，“中国版 Mythos”只是定位短语；“在这个靶场、预算和披露流程下发现已确认漏洞”才是可以评估的主张。

接下来观察什么

观察 360 是否发布经过审计的案例研究，并给出足够细节，让外部审阅者能区分新发现和重新发现。观察中国漏洞库、监管机构或主要软件供应商是否把公开致谢挂到具体的图龙锋来源报告上。观察仪天阵是否在事件重放演练中被度量，而不是停留在演示画面。还要观察中国模型实验室是否让长周期代码模型更容易接入受约束的安全环境，同时避免把每一项安全任务都变成通用智能体自由运行。

反证路径很直接。如果公开记录停在会议幻灯片、供应商摘要和无法检查的总量上，那么这是一条强市场信号，却不是基准结果。如果独立靶场、监管确认报告、供应商致谢和事件重放指标开始对齐，故事就会改变：中国网络安全智能体竞赛将从对标口号，走向可审计的安全自动化。

眼下合适的结论，既不是否定，也不是炒作。图龙锋和仪天阵重要，是因为它们显示出中国 AI 安全公司希望把竞赛推向哪里：从单模型智能，走向工程化智能体系统。证据门槛也应随之抬高。

cronfeed.work