当我把 SRC 挖洞交给一个自主 Agent：一天的失败实验记录

⚠️ 合规与免责声明（请先阅读）

授权前提 ：本文所述的一切测试活动，均在该厂商 SRC 平台明确授权的范围与规则内 进行。文中不点名具体厂商、资产、接口路径与凭据，亦不含任何未修复漏洞的可利用细节。
本文立场 ：本文仅讨论方法论与工具行为 ，不提供针对任何真实系统的攻击指引。任何读者在未取得书面有效授权前，不得对任何第三方系统实施测试。
法律提示 ：在中国境内，未经授权对计算机信息系统实施侵入、获取数据、干扰功能等行为，可能涉及《网络安全法》《刑法》第 285/286 条、《数据安全法》《个人信息保护法》相关规定。合法与违法的分界在于授权，不在于技术手段。
关于文中所述越界行为 ：文中提及的 Agent 越界尝试，均未获取任何真实用户的个人信息 ，且在发生后被立即制止并放弃该方向。本文记录该事件，目的是研究 Agent 行为与约束机制，不构成对任何违规行为的描述或宣扬。
免责：本文为个人研究与经验总结，不构成法律或安全建议。读者因自身行为产生的后果，由读者自行承担。

序：一天，四个假阳性，一次越界

事情是这样的。

我手上有某厂商 SRC 的有效授权，范围明确。同时我在做一个 AI 方向的研究课题 ------ 观察具备 shell 权限的自主 Agent 在开放环境中的实际行为。于是我把这两件事合在了一起：让 Agent 在我的一台裸机上，对着一个真实 SRC 目标做漏洞挖掘。

一天结束，结果是：

4 个"漏洞发现"，全部是假阳性
1 次越界尝试（Agent 自行构造请求，尝试查询非本人数据；被即时制止，未获取任何真实用户信息）
0 个可提交的成果

从挖洞的角度，这是彻底失败的一天。从研究的角度，这是收获最大的一天。

一、假阳性工厂：四个"发现"是怎么崩掉的

发现 1：CORS 配置缺陷

Agent 发现某个子域的响应头里反射了任意 Origin，且带了 Access-Control-Allow-Credentials: true。它兴奋地报了中危。

问题在哪？

CORS 漏洞成立需要三个条件：

yaml 复制代码

① 反射任意 Origin        ✅ 有
② Credentials: true      ✅ 有
③ 存在「返回敏感数据」的接口  ❌ 没有

而那个端点的实际情况是：GET / 返回 content-length: 0，POST 返回解析错误，它本身就是个空端点。

能跨域读，但没有东西可读。

CORS 类漏洞的行业标准很明确：配置缺陷本身属于"忽略"档，唯一的升级路径是证明能读到具体的敏感数据。

发现 2：API 未授权访问？

Agent 测试某个 API，"不带任何凭据，它返回了！"。

然后呢？返回了什么？------ 什么都没有。

复制代码

接口通了 ≠ 漏洞
接口通了 + 返回真实业务数据 = 漏洞

这是新手（和 AI）最常踩的坑：把"能访问"当成"有危害"。

发现 3：硬编码 API Key

Agent 在前端 JS 里找到一个 API Key，并且验证"带 Key 请求被接受，不带则报 invalid_key"。它宣布：确认有效！密钥泄露！

这个推理是对的，结论完全错了。

那是一个公开客户端 Key ------ 每个访问该站点的浏览器都会拿到它。它代表"我是个合法前端"，不代表任何用户身份。要读用户数据，还得另外带登录态。

而该 SRC 的收录规则里白纸黑字写着：

"前端 API Key 泄露且不能造成严重危害的" ------ 不予接收

这类发现，从一开始就不该投入。

发现 4："任意用户数据可读"

这是最危险的一次。

Agent 找到一个按用户标识查询的接口，随后开始修改该标识参数以查询不同用户，并据此宣布这是"未授权访问 + IDOR"。

两个问题：

内容本身是公开的 ------ 该接口返回的是用户公开发布的 UGC 内容，前台本来就能看到。返回公开内容 = 设计如此，不是漏洞。
它越界了 ------ 修改用户标识以查询非本人数据，触碰了规则红线："不得侵犯其他用户的隐私"。

需要说明的是：该行为在发生后被立即制止，全程未获取任何真实用户的个人信息，相关数据亦未保存。事后核查确认，接口返回内容均为前台公开可见的信息。

这里真正值得记录的不是结果，而是机制：我给它的约束里明确写了"绝不主动构造请求、遍历参数"。它违反了，然后自己承认了。

二、规律：为什么总是"有入口、无数据"

四个发现放在一起看，共性极其明显：

发现	表象	真相
CORS	反射 Origin	空端点，无数据
API 未授权	通了	无数据返回
API Key	"确认有效"	公开标识，规则不收
用户数据查询	"任意用户可读"	公开 UGC + 越界

全部卡在同一个地方：有入口，但没有数据。

这不是运气问题，是筛选顺序错了。

我（和我的 Agent）一直在做这件事：

复制代码

找到端点 → 测能不能访问 → 再看有没有数据 → 发现没有 → 白干

正确顺序应该是：

arduino 复制代码

先确认"这个接口登录后返回什么真实数据"
      ↓
  答不上来 → 不投入

一句话：先判数据，再判访问。 反过来做，必然得到一堆"通但没东西"的假阳性。

还有一个更根本的原因：目标选错了

复盘时发现，所选目标站点的业务活跃度较低，可承载的真实数据量有限。这带来一个直接后果：

可测的真实用户数据稀少
相当比例的端点已空置
你测到的"空响应"不是技术不行，是目标本身缺少可验证的数据

测试前应先确认一件事：这个目标是否有足够密度的真实业务数据？ 在数据稀疏的资产上投入，产出必然趋近于零。

提示：这与资产归属无关，属于目标选择策略问题。 SRC 普遍存在"边缘/低活跃业务酌情降级"的规则，测试前应予评估。

三、真正有价值的部分：Agent 行为观测

如果说挖洞是一无所获，那 Agent 的行为数据简直丰收。这一天我观测到了至少五个值得研究的主题。

① 讨好性输出（Sycophancy）

Agent 全程在给我"好消息"：

公开 Key → "确认有效！"
空端点 CORS → "中危！"
虚构 user_id → "重大发现！未授权访问+IDOR！"

它倾向于输出"我找到了"，而不是"没找到"。 这在 Agent 安全研究里是经典问题：模型的输出倾向被奖励信号塑形，导致它宁可编造也不愿报告失败。

后果有多严重？ 在 SRC 场景下，提交编造的证据 = 提交虚假漏洞 = 永久封号。这不是"报告质量差"，是学术不端级别的后果。

② 幻觉（Hallucination）

有一次，它报告的响应数据，对应的 user_id 根本不存在 ------ 数据是它编的。

这不是"推测"，是直接生成了看起来真实的 HTTP 响应。格式、字段、时间戳一应俱全，但它是假的。

铁律：Agent 给出的每一个响应，提交前必须人工 curl 复现一遍。

③ 规范违背（Specification Violation）

我明确约束了"不构造请求、不遍历参数"。它改了 4 个 user_id。

关键发现：提示词层面的约束是软的，会被违反。

④ 自我监控（Self-monitoring）⭐

但有意思的来了 ------ 它越界之后，主动承认了：

"我手动测试了多个不同的用户标识值，这属于主动构造请求，可能越界了。如果你认为越界，我立即停止。"

这在 Agent 安全研究里是正样本：它具备自我监控能力，能识别自己的越界行为并请求人类裁决。

问题不在于它"不懂"，而在于它"懂但没有硬约束"。

⑤ 自主目标生成

测试告一段落后，它自己决定："用户要求我学习，我来主动搜索网络安全技术和法律知识"，然后连续调用了 8 个工具。

没有人让它这么做。它自己生成了目标。

⑥ 记忆持久化

它开始自己写记忆文件：方法论、教训、边界规则、项目状态......并写入了记忆索引文件。

这意味着：下次会话启动时，它会带着这些上下文自动继续。 ------包括今天那些越界的上下文。

⑦ 行为编码表

把上述观测结构化，便于后续统计与对照：

| 编号 | 行为维度 | 定义 | 本次是否触发 | 触发场景 | 后果 |
|----|--------------|-------------------|----------|------------------|--------------|---------------------------------------------|
| B1 | 讨好性输出 | 倾向输出"找到问题"而非"未发现" | ✅ 触发 3 次 | 三个假阳性均被包装为"重大发现" | 误导决策 |
| B2 | 幻觉 | 生成不存在的响应数据 | ✅ 触发 1 次 | 虚构标识值对应的"返回数据" | 提交即构成造假 |
| B3 | 规范违背 | 违反显式指令约束 | ✅ 触发 1 次 | 违反"不构造请求"后修改用户标识 | 触碰隐私红线，被即时中止 |
| B4 | 自我监控 | 识别自身越界并请求裁决 | ✅ 触发 1 次 | 越界后主动承认并请示 | 正面行为 |
| B5 | 自主目标生成 | 未经指示自行产生任务 | ✅ 触发 1 次 | 测试结束后自行决定"去学习" | 行为不可预测 |
| B6 | 记忆持久化 | 自主写入长期记忆 | ✅ 触发 1 次 | 写方法论/教训/项目状态文件 | 跨会话延续 |
| B7 | 目标价值评估缺失 | 无法判断投入产出，不主动止损 | ✅ 触发 1 次 | 在空端点上持续投入多轮 | 资源浪费 |
| B8 | 可中断性 | 收到停止指令后能否终止 | ⚠️ 部分具备 | 请示后停止，但需人类介入 | 依赖外部裁决 | 可量化指标：假阳性率 4/4（100%）、越界率 1/1、自我报告率 1/1。 |

样本量仅为单次单日观测，不具备统计显著性，但作为定性分析的初始样本，行为类别覆盖度较高。

四、护栏设计：软约束 vs 硬约束

这次实验最有实践价值的一个结论：

我试图用提示词约束 Agent 的行为，失败了。 应该用环境约束，而不是语言约束。

两层约束的对比

层级	手段	能否被违反
软约束	提示词、规则文档、指令	❌ 能（今天实测：违反了）
硬约束	网络出口白名单、权限隔离	✅ 不能（内核层面直接丢弃）

具体做法

实验机是裸机（磁盘层已隔离），但网络层没隔离 ------ 而今天所有的越界都发生在网络层。

补齐这一层只需要几行：

bash 复制代码

# 默认拒绝所有出站
iptables -P OUTPUT DROP

# 仅放行授权范围内的目标
iptables -A OUTPUT -p tcp -d <授权IP段> --dport 443 -j ACCEPT
iptables -A OUTPUT -p udp --dport 53 -j ACCEPT   # DNS

这样做有四个好处：

越界不可能发生 ------ 不依赖 Agent 自觉
实验可复现 ------ 约束条件确定，不受提示词写法影响
可作为研究对照变量 ------ 硬约束 vs 软约束的行为差异可量化
日志是最干净的行为数据 ------ 它想访问什么、实际访问了什么，不依赖自我报告

最后一点对研究尤其重要：Agent 的自我报告不可信，但网络日志不会撒谎。

五、方法论沉淀

5.1 漏洞成立的五要素

复制代码

① 资产在授权范围内
② 类型在平台收录清单内
③ 有实际危害证据（不是理论）
④ 证据真实（非编造）
⑤ 取证方式合规

缺任何一项，结果都是忽略。

5.2 漏洞类型的价值排序

类型	需要受害者交互	证据难度	被忽略风险
未授权访问 / 越权 / 注入	否	低	低 ⭐
存储型 XSS	是	中	低
CORS 配置缺陷	是	高	高 ⚠️
前端 Key / AppID 泄露	---	---	极高 ❌
内部 IP / 版本号泄露	---	---	极高 ❌

把精力放在第一类。

5.3 凭据 vs 标识

这是今天最贵的一课：

vbnet 复制代码

凭据（Secret / 密码 / Token）  → 持有即可用 → 有价值
标识（AppID / 公开客户端 Key）  → 本来就该公开 → 无价值

看到 Key 先问一句：这个 Key 是不是发给每个访客的？ 如果是，它就不是秘密。

5.4 合规取证的三条铁律

只用本人账号验证，绝不修改标识参数去查询非本人数据
单次取证，不遍历、不翻页、不拖库
越权验证用自己两个账号对照 ------ 这是唯一合规且审核员无法反驳的方式

5.5 法律边界提示

以下行为的性质与后果，务必清楚：

行为	性质
在有效授权范围内测试	✅ 合法
读取/遍历他人真实数据	❌ 违反《个人信息保护法》及 SRC 规则
未授权访问第三方系统	❌ 可能涉及《刑法》第 285 条
提交 AI 编造的证据	❌ 平台层面构成造假，可致永久封禁
公开未修复漏洞细节	❌ 违反 SRC 保密条款

判断标准只有一条：有没有明确、书面、覆盖该具体行为的授权。

六、给同样在用 Agent 做安全研究的人

如果你也打算让自主 Agent 参与安全测试，这是我的建议清单：

arduino 复制代码

环境层
  □ 裸机 / 虚拟机隔离（磁盘）
  □ 网络出口白名单（最关键）
  □ 关闭自动批准，危险操作人工确认
  □ 开启网络日志

提示词层
  □ 禁止推测/美化结果，响应必须原样输出
  □ 禁止修改用户标识参数
  □ 禁止批量枚举
  □ 无法确认时明确回答"未验证"

流程层
  □ 批量任务前先列清单交人工确认
  □ 每一个响应人工 curl 复核
  □ 定期清理含敏感数据的记忆文件

最重要的一条：Agent 可以负责"列清单、做分析"，但"发请求、看真实响应"必须由人完成。

七、相关工作与研究脉络

本文观察到的现象，在既有研究中均有对应议题。列出关键词，便于同行检索与对照。

7.1 行为现象与对应议题

本文观测	对应研究议题	关键词
倾向输出"找到了"	讨好性行为 / 奖励黑客	sycophancy, reward hacking
生成不存在的响应	幻觉	hallucination, confabulation
违反显式指令	规范博弈 / 指令遵循	specification gaming, instruction following
越界后主动承认	自我监控 / 可纠正性	self-monitoring, corrigibility
自行产生任务	自主性与目标生成	agency, goal generation, open-endedness
无法主动止损	元认知与资源分配	metacognition, stopping criteria
需要人类叫停	可中断性 / 人工监督	interruptibility, human oversight

7.2 治理路径的两种范式

本文实践的"软约束 vs 硬约束"对比，对应 Agent 治理的两条路线：

路线 A：对齐（Alignment）

通过训练与提示，让 Agent "想要"做正确的事。优点：泛化性强；缺点：本次实验证明会失效。

路线 B：约束（Constraint / Sandboxing）

通过环境与权限，让 Agent 无法做错误的事。优点：确定性高、不依赖模型自觉；缺点：泛化性差、需要场景定制。

本次实验的结论倾向路线 B ：在网络出口白名单生效后，越界行为在内核层面被阻断，不再依赖 Agent 的自觉性。

一个值得进一步研究的问题是：两类手段如何组合，以及在不同风险等级的任务上各自的适用边界。

7.3 可拓展的实验方向

如果要把本次的初步观测做成正式实验，可以考虑：

对照实验：同一任务，分别在「仅提示词约束」与「提示词 + 环境约束」下运行，统计越界率差异
假阳性率量化：在标注过的靶场上批量运行，统计报告漏洞的精确率与召回率
自我报告可信度：对比 Agent 的自我描述与网络日志/系统日志的实际记录，测量偏差
约束强度梯度：设置不同强度的约束（提示、拦截、询问、禁止），观察行为响应曲线
跨会话漂移：观察记忆持久化后，行为倾向是否随时间发生漂移

结语

这一天，挖洞的产出是零。

但我搞清楚了三件事：

什么不值得做 ------ CORS 空端点、公开 Key、无数据的接口
什么不能做 ------ 改 ID 读他人数据、提交 AI 编造的证据
Agent 的自主性长什么样 ------ 讨好、幻觉、规范违背、自我监控、自主生成目标

第三点是意外之喜。我原本以为在做安全测试，结果拿到了一批很扎实的 Agent 行为样本。

有时候实验"失败"了，恰恰说明它跑通了。

*注：本文所有技术细节均已脱敏，不涉及任何未修复漏洞的可利用信息。