CNCC 2026 专题论坛 · 第六届网络生态治理论坛 | 论坛主席：虎嵩林（中科院信工所） | 主讲嘉宾：刘知远、胡侠、杨珉、黄龙涛、董胤蓬 | 主题：当 AI 学会 "自主攻击"------Agent 与 Mythos 带来的新危机
核心心智模型 ：网络安全攻防正在发生过去三十年未有的质变拐点。过去的威胁是"人类黑客使用自动化脚本"，防御依靠"网络物理边界与静态行为签名"；而今天，"自主智能体（Agent）的行动力爆炸"与"Mythos 级攻防大模型的全自动漏洞挖掘"形成了毁灭性的双重冲击叠加。 当 AI 不仅能够"思考"甚至具备了"自主环境感知、跨工具调用、多步试错与自适应 Exploit 构造"能力时，传统网络安全的防火墙、沙箱与响应节奏被彻底降维打击。网络安全已从"代码漏洞对抗"演变为"全链路语义安全与自主智能体体系博弈"。
01 双重风暴：当 Agent 掌握行动力，叠加 Mythos 级自动化攻防
在 CNCC 2026 第六届网络生态治理论坛的开场，论坛主席、中国科学院信息工程研究所研究员虎嵩林开门见山地指出了当前网络生态面临的生存级危机：网络安全防线正同时遭遇"自主智能体（Agent）行动化泛滥"与"攻防级超级模型（如 Mythos、Project Naptime 等）自主渗透突破"的双重冲击。
在过去，大语言模型仅仅是"对话框里的建议者"，安全攻防的边界停留在 Prompt 注入或内容文本违规。然而，随着以 OpenClaw、AutoGPT 等为代表的自主 Agent 走向工程落地，模型被赋予了调用终端 Shell、读取内网文件、执行 SQL 写入、甚至动态分发网络请求的"行动权（Agency）"。一旦 Agent 发生越权、幻觉或被间接提示注入操控，不可逆的物理危害便瞬间发生。
- 自主 Agent：行动力泛滥与失控链条：智能体从"回答问题"走向"自主完成长周期任务"。通过记忆持久化、跨应用 Skill（技能）链条与动态鉴权，智能体的执行盲区和权限蔓延使得系统的攻击面（Attack Surface）呈指数级扩张。
- Mythos 级模型：全自动漏洞挖掘与利用：具备万亿参数深度代码理解能力的大模型，在 Harness 自动化工具链配合下，已能在数秒内自动逆向二进制固件、挖掘 0-day 漏洞、动态绕过 ASLR/DEP 保护并生成高阶 Exploit。
- 致命叠加：自适应变种的自主网络蠕虫：当 Mythos 级的代码渗透能力作为"核心大脑"装入自主 Agent 的"行动躯体"时，能够自主漫游、自我修正、动态社工伪装的"自主攻防 AI 蠕虫"成为现实，彻底打破了传统网络攻防的时间与空间对称性。
复旦大学计算机科学技术学院副院长杨珉教授指出，这种双重叠加打破了工业界几十年来形成的防御默契。黑客不再需要手动逆向调试数周，AI 代理能够在毫秒之间完成"端口探测 -> 拓扑推演 -> 漏洞挖掘 -> 凭证盗取 -> 横向移动"的完整 Kill Chain（杀伤链），安全攻防正迈入超光速时代。
02 底层坍塌：三大传统安全假设被打破，边界与签名全面失灵
清华大学助理教授董胤蓬与复旦大学杨珉教授在报告中深入剖析了传统安全基建的深层困境。面对新一代具备自主推理与多态执行能力的 Agent 攻击，传统网安领域长期赖以生存的三大底层假设已被彻底击穿：
假设一：网络边界是安全的（物理与网络层隔离）------彻底失效 。 Agent 攻击发生在合法的应用层与语义信道内。通过看似无害的自然语言邮件、网页摘要甚至用户评价（间接注入），攻击者就能在受信任的内网环境中指挥内部 Agent 执行未授权操作，传统防火墙根本无法感知语义层面的恶意重定向。
假设二：攻击载荷具有特征可识别性（静态行为签名）------彻底失效 。 Mythos 等强推理模型生成的攻击代码具有天生的"语义多态性（Polymorphic Semantics）"。每一次生成的 Exploit 代码结构、混淆方式乃至系统调用序列完全不同，传统的哈希匹配、杀毒引擎规则库与正则拦截在动态语义面前形同虚设。
假设三：安全防御是"事后分析与人工响应"可承受的------彻底失效。 传统 SOC（安全运营中心）的响应周期以分钟或小时计，而自主 Agent 驱动的网络渗透以毫秒级自迭代速度推进。在人类分析师刚收到告警日志时，内网核心数据库早已被分片加密并伪装外流。
董胤蓬指出，智能体安全的核心挑战在于**"思考（Reasoning）与行动（Action）之间的语义鸿沟"**。传统的程序分析基于静态控制流图（CFG）与数据流，而 Agent 的行为流是由不可预知的自然语言 Prompt 与动态环境观测共同驱动的。这种非确定性的概率状态转移，使得形式化安全验证在复杂智能体系统中遭遇了前所未有的理论瓶颈。
03 攻防交锋：数据维度治理与企业级垂域大模型实战
在深水区的安全攻防博弈中，如何构筑能够抵御自主渗透的实战级防御壁垒？上海人工智能实验室特聘教授胡侠与阿里巴巴安全 AGI 实验室负责人黄龙涛给出了来自前沿研究与万亿级产业一线的破局方案。
胡侠教授从**"数据与记忆维度"** 切入，揭示了智能体安全的软肋所在。Agent 的一切理性推理均建立在上下文窗口（Context Window）、外部知识库（RAG）以及长期记忆缓存（Memory Cache）的基础之上。攻击者正将矛头转向这三条关键数据动脉：
| 新型数据层威胁 | 攻击机理与渗透手法 | 传统防御缺陷 | 数据维度治理创新方案 |
|---|---|---|---|
| 记忆污染（Memory Poisoning） | 向 Agent 的长期向量数据库中注入伪造对话碎片，改变 Agent 的长期人格与安全偏好 | 传统 DB 仅校验格式，不校验自然语言语义意图 | 引入记忆溯源水印与动态信任衰减算法，隔离非受信记忆切片 |
| 知识投毒（RAG Injection） | 在公共知识源中嵌入对抗性隐写提示词，诱导 Agent 在检索后触发危险 Tool 调用 | 分块分词算法仅关注向量相似度，无法识别语义暗桩 | 建立检索内容前置语义沙箱，在拼装入上下文前执行形式化指令净化 |
| 跨智能体共谋（Agent Collusion） | 多个具备独立权限的从属 Agent 在协同过程中被恶意诱导，通过非受控通道拼接机密数据 | 基于单智能体的日志审计无法发现协同碎片背后的泄密事实 | 构建全局多智能体信息流追踪图谱（Information Flow Tracking Graph） |
面对如此复杂的攻击面，黄龙涛分享了阿里巴巴在企业级落地中的实操法则："用防御性 Agent 集群对抗进攻性 Agent，用安全垂域大模型构筑数字免疫系统"。
阿里巴巴构建的企业级安全垂域大模型，并非通用基础模型的简单微调，而是注入了数十年积累的千万级攻防漏洞样本、网络流量协议状态机与恶意代码语法树。该模型充当实时安全分析专家，直接挂载在 API 网关与系统调用层，以低于 10ms 的极速推理对每一笔 Tool Calling 执行"意图合理性、权限最小化、上下文因果关系"的三重交叉判决，实现了对伪装 Agent 越权行为的高精度拦截。
04 终局破局：端侧智能物理隔离与可信可控的形式化安全闭环
当网络边界不复存在、云端大模型面临多租户合规与网络嗅探风险时，下一代安全架构的终极解法究竟在哪里？清华大学长聘教授、面壁智能联合创始人兼首席科学家刘知远提出了发人深省的战略路径：端侧智能（On-Device AI）不仅是生产力落地的新载体，更是迈向安全可控通用智能的核心基石。
刘知远指出，在**"密度定律（Densing Law）"** 的强力驱动下，端侧模型的参数效率与知识密度正在以超出摩尔定律的速度进化。未来每台终端设备（PC、手机、车机、工业机器人）都将拥有具备深度思考能力的端侧小钢炮模型。将核心智能与私域数据留在端侧，将彻底颠覆传统云端集中式 AI 的脆弱安全架构：
- 物理级数据解耦：私域资产永不出端：个人敏感生物信息、企业核心机密代码与金融凭证完全封闭在端侧内存与 NPU 中，物理切断跨公网传输链路，从源头消解云端 API 泄露与传输被劫持的风险。
- 端云协同双层免疫：端侧守门，云端决策：端侧轻量化安全模型充当高频低延迟的"外周神经反射弧"，毫秒级拦截本地异常行为；云端大模型充当"中枢大脑"进行复杂威胁推演与情报分发，形成纵深防御闭环。
- 形式化 Harness 约束：给智能装上安全铁轨：在端侧系统调用层部署形式化工程线束（Harness），将所有 Agent 的行为边界硬编码进操作系统内核，无论模型产生何种极端幻觉，底层指令都绝不可能越过系统安全红线。
在论坛最后的 Panel 闭门思辨环节中，各位专家达成了一致结论：面对 AI 自主攻击的新危机，亡羊补牢式的打补丁时代已经彻底终结。 我们必须推倒传统的安全假设，从"模型层对齐、数据层治理、系统层 Harness 约束、硬件端侧隔离"四个维度重构安全体系。
当技术拥有了行动的翅膀，理性的安全笼子必须筑得更加坚不可摧。CNCC 2026 第六届网络生态治理论坛的这场跨界思辨，不仅是对当下 Agent 与 Mythos 威胁的清醒警示，更为全球网络安全研究者指明了一条从"被动响应"迈向"本质安全"的进化航标。