编者按：本文由支付宝技术部编写，并发表于《中国金融电脑》2025 年第 9 期。
一、概述
自 2016 年起，支付宝技术安全团队综合参考应用安全研发生命周期、研发安全运营一体化等理论，构建了支付宝技术研发全栈全流程的应用安全研发周期"Alipay-SDL 1.0"体系。我们以行业安全态势和监管安全合规要求为观照，立足支付宝业务实际情况，通过持续建设安全运营能力、平台产品及工具，充分满足了业务发展的研发安全诉求，为支付宝的安全发展保驾护航。
近年来，在"双飞轮"战略的布局和推动下，支付宝在数字支付和数字互联领域不断创新和持续深耕，为用户提供了更多形态的数字化服务和产品体验。在业务架构日益复杂、研发体验要求卓越的背景下，如何确保业务快速发展和安全水位持续提升实现双赢，AI 技术（特别是大模型技术）的发展，给我们指明了技术演进的方向。从科技前沿领域的最新进展来看，AI 技术正在信息化、数学、生命科学等领域掀起"变革浪潮"。在安全领域，如何通过系统性的设计，全面拥抱 AI 技术，通过 AI 技术实现安全工具的能力升级、安全运营的效率升级，进而实现安全研发的创新变革，我们通过支付宝 AI4SDL（AI For SDL）安全体系的建设实践给出了答案。
二、应用安全研发生命周期的现状和挑战
支付宝原有的安全研发生命周期可分为如下图所示的几个环节，可概括为"安全工程师基于对业务的深刻理解以及所掌握的安全知识与经验，通过安全工具的辅助，在需求分析、设计、编码、测试和上线运行等各个环节，全面评估识别业务安全风险并推动修复闭环"的过程。
应用安全研发生命周期
我们对 SDL 工作的要求是：全面高效识别安全风险，避免高危严重漏洞被流入到生产环境，同时尽可能的保障研发体验不受打扰。随着业务的发展，我们在 SDL 工作中遇到的挑战主要包括：
-
理解业务成本升高：支付宝 APP 承载了包括支付、点餐、广告、政务、出行、物流等几乎互联网所有常见的业务类型，不同类型的业务场景相互交叉渗透，安全工程师在 SDL 过程中理解业务的成本日益增高。
-
安全风险复杂多变：随着大模型技术的持续升级和广泛应用，新型的安全漏洞和攻击模型也在持续出现。在代码研发、测试、部署和运行的过程中，我们需要持续整合针对新型风险的识别和防护措施，依赖人工的威胁建模和风险识别工作方式难以高效应对。
-
安全工程师负荷激增：随着 AI 辅助编码技术的应用，业务研发的工作效率越来越高，业务迭代越来越快。安全工程师要守住安全底线，就需要投入更多的时间和精力来覆盖业务迭代变更的安全风险评估，工作负荷激增。
三、智能化升级的系统性思考
从 SDL 工作所面临的挑战出发，我们基于系统集成的思想，在研发安全生命周期全链路各个环节引入 AI 的能力，构建了业务研发生命周期安全保障新范式。
支付宝 AI4SDL 研发安全范式
我们可以把 SDL 工作看作是一种智力劳动，其三要素是：安全工程师（劳动者）、安全工具（劳动资料）和业务应用（劳动对象），智能化升级的维度包括：
从劳动对象角度：如何通过 AI 赋能提升 SDL 平台对业务的自动化理解和表征能力，将我们要识别风险的应用准确的转化可以用于风险模型计算的数据。
从劳动工具角度：如何通过 AI 赋能实现安全工具的快速升级，使其具有更加强大的计算能力。这里面尤其显著的挑战是如何提升安全工具识别复杂业务逻辑漏洞的能力，特别是安全风险较高且广泛存在水平权限类漏洞如何高准召率的自动识别。
从劳动者角度：在过往的模式下，安全工程师通常是按照风险细分，如应用安全工程师、数据安全工程师、客户端安全工程师等。他们通常作为单一风险领域的安全技术专家进行风险识别。随着蚂蚁NBSP和OVTP安全新范式的提出和业务落地，支付宝如何通过 AI 赋能帮助安全工程师跨风险领域、全面高效率的识别安全风险，需要我们给出答案。
四、AI4SDL 体系建设实践
（一）、通过"文档智能解析与风险要素提取技术"自动化理解业务
在安全工作中，非结构化文档（包括需求文档、架构设计图、接口说明等）承载着业务逻辑的核心信息，是安全工程师识别潜在风险的关键输入。传统工具在文本语义解析、跨模态关联建模及风险模式挖掘方面存在显著瓶颈，导致人工分析效率低、风险覆盖不充分。我们构建了新一代多模态大模型（Multimodal Large Language Model，MLLM）驱动的文档智能分析技术框架，实现从非结构化文档到知识体系的智能转化，通过三级架构体系突破性地解决了复杂业务文档的语义理解难题。
面向安全领域的多模态文档预处理技术：通过构建高质量安全知识语料库，全面覆盖各类安全场景与业务领域，为智能安全风险评估奠定可靠的认知基础。在数据清洗与预处理阶段，研发了动态结构感知的分块算法，该算法通过语义边界检测技术，同步识别文本段落、表格行列、代码块嵌套结构及图表注释区域，突破传统基于固定长度或显式格式的分割方法对业务逻辑完整性的破坏，为下游大模型检索增强生成（Retrieval-Augmented Generation，RAG）提供高质量的语义单元。
基于 GraphRAG 的知识检索增强框架：利用大规模语言模型（MLLM）构建跨模态语义对齐框架，自动识别并结合认证逻辑、数据流、业务信息和接口设计等安全关键要素。基于 GraphRAG 技术，利用语言模型（LLM）实现细粒度的实体识别与关系抽取，构建安全领域的动态异质图（Heterogeneous Graph），完整保留业务语义关联。进一步地，设计了 PersonalPageRank（Personalized PageRank，PPR）算法，重新定义安全领域节点的相关性权重与检索优先级，提高复杂问题关键节点的召回率。该技术为安全风险评估提供了可靠的知识支撑，提升了复杂业务场景下的漏洞分析深度和准确度。
基于 LLM 的安全知识智能评估与演进系统：为确保业务知识的持续优化能力，我们构建了科学严谨的基准评测流程，该流程遵循"生成-过滤"范式。首先，基于历史安全文档、人工标注的安全风险案例库以及业务研发文档等多源语料，生成高度可定制且多样化的合成问答基准测试集。然后，增强对生成问题类型的过滤，建立问题类型的分类体系，全面覆盖业务知识与安全工程师的各种交互问题。最后，引入大语言模型（LLM-as-a-judge）构建四维评估指标体系（准确度/完整性/清晰度/丰富性），通过自动错误案例识别形成反馈闭环。系统实验表明，在精准召回业务知识方面，效果提升超过 20%。
（二）、通过"代码风险推理分析与 API 语义标注"提升漏洞自动化发现能力
规则驱动的风险推理体系 RAC：在业务安全分析框架中，规则推理作为基础范式，需实现代码逻辑与业务需求的标准化映射。通过构建融合程序分析、知识图谱与数据工程的安全风险评估中心（Risk Assessment Center, RAC），建立代码解析、调用链路建模、数据流刻画的多维联动机制。其中，亿级节点知识图谱作为核心基础设施，Schema设计深度整合代码库、接口、敏感信息等二十余类实体类型，兼容多源异构数据的结构化存储框架，形成业务信息的标准化表征体系。该体系通过图谱的天然关联性，将静态代码特征与动态数据流向进行拓扑聚合，为风险推理提供可追溯的规则基底，解决传统分析工具碎片化难题。
语义增强的代码风险分析推理：针对系统框架代码缺失导致的语义断层问题，提出大模型驱动的 API 语义标注方法。通过程序分析技术提取 SDK 接口声明、应用调用点及 API 文档注释，构建包含上下文特征的多模态提示工程模板，输入大语言模型（LLMs）进行语义推理，实现接口数据流关系的自动化标注。例如对鸿蒙 ArkTS SDK 的隐式数据流模式，生成可扩展的接口语义契约库。该方法突破传统人工规则维护的局限性，深度融合了接口声明的文本语义与调用上下文的结构化特征，构建代码片段与安全属性的动态映射关系，为风险传播路径分析提供语义增强支撑。实测数据显示，该方法在支付宝鸿蒙应用中接口标注准确率达到 70% 以上，充分利用 API 文档注释的规范性特征，模拟安全工程师的认知过程，实现了接口安全属性的智能化标注。
多智能体协同代码分析框架 RAC Agent：为实现复杂代码风险分析任务的分解与协同，我们设计了基于多 Agent 协同的安全风险评估框架 RAC Agent。该架构将代码安全分析任务解构为数据流分析、权限校验、敏感操作识别等专业领域，每个 Agent 专注单一能力域并具备自主规划、执行、反思能力。通过任务分解-协作-整合机制，实现跨模块风险的关联推理：如水平权限分析 Agent 可联动数据流 Agent 与接口库，自动构建越权访问的攻击面模型。该架构创新性地引入大模型的深度推理能力，在任务调度层实现意图理解与策略生成，在执行层完成多跳逻辑推导，形成"宏观规划-微观执行-动态优化"的闭环体系。该方案通过专业化分工与协同机制，最大化释放大模型的语义理解与复杂推理潜力。
（三）、通过"从感知到决策的全链路智能化运营体系"提升安全工程师工作效率
智能化变更感知中心 SDLHUB：变更感知是 SDL 运营的基石，我们构建了 SDL 运营的核心基础设施平台 ------ SDLHUB，其全面覆盖了支付宝业务及技术变更的感知。该平台通过深度集成业务研发全生命周期，构建了实时感知、智能分析与协同处置的管理体系。利用符号规则与大语言模型的协同，有效解决了支付宝海量业务变更场景下的风险筛选难题，实现了变更行为的精准分级与动态响应，完成了从代码级变更到业务意图的跨域风险信息整合。
全链路可视化分析技术：针对支付宝复杂业务场景下架构域安全风险难以自动化分析的核心挑战，我们构建了以下形成三层可视化链路：
-
业务行为链路：将用户交互行为抽象为业务流程图，以支撑业务逻辑风险的快速定位。
-
系统调用链路：基于分布式追踪数据构建微服务调用拓扑，实现功能实现层的安全漏洞溯源。
-
数据流转链路：通过参数血缘分析追踪敏感数据在系统间的传递路径，精准识别潜在泄露点。帮助安全工程师准确跟踪参数在各个系统间的流转。以上三层可视化链路为安全工程师提供了从业务逻辑到技术实现的完整分析框架，显著提升安全工程师理解业务与风险识别的效率。
智能化安全架构 SDLCopilot：针对传统安全运营中信息割裂及场景适配性差的核心挑战，我们提出 SDLCopilot 智能安全架构。该架构采用"平台化支撑-场景化落地"的分层解耦设计理念，通过四层协同体系实现安全运营的智能化升级：
-
应用交互层集成自然语言接口，将业务需求转化为语义级指令，构建低代码交互范式。
-
Agent 服务层支持多智能体动态编排与协同调度，通过任务级联与能力互补形成自动化闭环。
-
Agent 服务支撑层整合 SDL 工具链、MCP 服务及模型治理能力，提供原子化接口与策略编排逻辑；
-
基础设施层深度融合 LLM 语义理解、向量数据库，构建异构资源协同底座。这种将人类专家认知模式与机器智能处理能力深度耦合的技术路线，为大型企业构建自适应安全运营体系提供了可扩展的方法论框架，标志着安全工程从工具辅助向智能协同的范式跃迁。
五、面向未来的思考
在安全专业领域，如果期待大模型对安全漏洞识别和修复能够做到无需人工运营干预的程度，其识别结果精确性至少需要达到 99% 的可靠性水平。我们的 AI4SDL 体系已带来了安全工作效率和体验方面的巨大量变，但是距离质变还是有一定的距离。
面向未来，我们需要重点提升大模型分析结果的可靠性。在此方面，蚂蚁集团已经推出了HOP方案，在专业领域落地大模型的"控制体系"，通过程序化 SOP + 核验机制，解决幻觉导致的可靠性瓶颈。相信通过系统性的思考和持续的探索，我们能够充分融合 AI4SDL 和 HOP 方案，将支付宝应用研发生命周期安全保障从"人模结合"的境界推向"无人之境"。
六、写在最后
支付宝安全团队，致力于构建和持续运营 AI 驱动的支付宝业务研发生命周期安全体系，通过先进的 AI 技术和安全技术，在研发过程中系统性的评估安全风险和增强业务安全性，为支付宝业务发展创造良好的安全环境，为行业树立安全标杆。
我们正在通过校园招聘找寻同路人，如果你是一名即将走出校园的优秀年轻人，渴望用安全技术为十亿级用户的超级 APP 打造安全护盾，在 AI+Security 领域有所成就并影响行业未来走向，欢迎加入我们一起为热爱而战！