国产模型正在重写网安能力的入口

原创

Hx0极客圈
Hx0极客圈

Hx0极客圈

2026年10月30日 22:11
安徽

去阅读

AI 安全观察 · 深度

国产模型正在重写
网安能力的入口

三家公司，三种限制，一条被误读的降幅曲线

Kimi 主动移除攻击数据，DeepSeek 把能力装进实名闸门，GLM-5.3 在测试里没有拒答。它们做的不是同一件事，被削弱的也不是同一群人。

· 情报等级：高　· 来源：官方博客 / 独立榜单 / 监管文件　· 2026-10-30

过去一周，中文安全圈流传一句话——“天才渗透测试工程师已陨落”。

它对应的不是某个人的死亡，而是一个更具体的焦虑：当 Kimi K3.1 Pro 主动移除网络攻防数据、DeepSeek 把 Cyber 能力装进实名闸门，那个“一句话让模型写出 EXP”的时代，是不是结束了？

把官方博客、独立榜单、监管文件和反例放在一起看，结论恰恰相反：被削弱的不是“渗透工程师”，而是“无门槛的攻击杠杆”；被重新分配的，是能力、入口和合法性。

01 | 先辟个谣：没有“天才”去世

截至发稿，公开检索没有发现与“天才渗透工程师陨落”对应的真实人物伤亡事件。它更像一句圈内黑话，指“靠大模型把渗透测试做成一句话工程”的那类人。

所以，讨论这句话，不能停在情绪上。过去七天，至少发生了三件方向完全不同的事。

图1 | 三种限制，三种治理逻辑——削数据、设闸门、不设限，对应三条完全不同的风险曲线。

“限制”这个词被用坏了：有人限制的是训练数据，有人限制的是访问身份，有人根本没有做前置裁剪。把三件事混成一句“国产模型都不行了”，会同时误判能力和风险。

图2 | 七天时间线——发布、灰度、榜单与监管几乎同时发生。

02 | Kimi：不是“废了”，是“自我限速”

10 月 23 日，月之暗面发布 Kimi K3.1 Pro。官方技术博客罕见地单开了一节 Cybersecurity，把“怎么削弱自己”写成了方法论文。

2.1 官方给出的五个事实

1数据嵌在通用语料里——网安内容混在通用 mid-training 语料中，网安任务也混在 RL 环境组合里，不是独立模块。

2两个阶段都做了移除——为开放权重发布，mid-training 与 RL 阶段都识别并移除了网安相关数据。

3数字来自内部基准——xdev-bench-hard 上，未移除的对照 checkpoint pass@3 = 90.5%，正式发布版 81.0%。

4基准不简单——要求读源码、定位漏洞、开发 exploit、在沙箱里实现任意代码执行并取回 secret，且开启缓解措施。

5权重还没放——完整权重承诺在 11 月 4 日前发布，截至 10 月 30 日尚未放出。

官方还写了两句很关键、但在传播中被丢掉的话。

“We aim not to release open weights that would extend the absolute frontier of cyber capability.”

我们不希望发布会把网络能力绝对前沿继续向外推的开放权重。

“K3.1 Pro's cyber capability remains behind that of frontier proprietary models that have been publicly available for at least three months.”

K3.1 Pro 的网络能力，仍落后于已公开至少三个月的前沿闭源模型。

这两句话说明：Kimi 的目标不是“让模型不会攻击”，而是“不让开放权重把攻击能力的绝对前沿继续往前推”。它削的是相对自家管线的上限，不是把模型变成无害玩具。

更重要的是，官方在同一节里承认：K3.1 Pro 的网安能力仍比前代显著提升。因为更强的通用编码和长程调试能力会泛化到网安任务，移除数据也挡不住这部分增长。

这是第一个被误读的地方：90.5% → 81.0% 是“同管线对照版 → 正式版”的下降，不是“上一代 → 这一代”的下降。同一套管线本可以做到 90.5%，发布版主动压到 81.0%，但仍强于上一代。

03 | DeepSeek：把能力装进闸门

10 月 30 日，开发者在 DeepSeek 官网前端代码里发现了一组与 Cyber 相关的申请入口和接口逻辑。

据 IT 之家报道，入口的形态是这样的：

注：入口尚未出现在公开菜单，处于小范围灰度，DeepSeek 官方尚未正式公告。

这件事的性质，和 Kimi 完全不同。Kimi 是在能力层做减法，DeepSeek 是在访问层做加法：能力保留下来，但把“谁可以用”从“谁都能下载”改成“谁通过审核谁用”。

这其实是一种更接近“持牌服务”的治理思路：

个人研究者——门槛提高了，但至少存在一条合法通道。

企业客户——能力可用，但调用会留下实名、Key 和额度记录。

监管侧——出了事可以顺着 Key 追溯，而不是面对一个无法定位的开放权重。

厂商自己——把 Cyber 能力产品化，既响应合规，也把高价值场景留在手里。

如果说 Kimi 是“把刀磨钝”，DeepSeek 就是“给刀装指纹锁”。两者都不是“把刀扔掉”。

04 | 榜单误读：64 分是防守，不是攻击

Kimi 发布后，另一个被反复引用的数字是：Artificial Analysis Cyber Index 64 分，公开可用模型第一。

这句话本身没错，但必须补上三个限定。

1它测的是防御。指数由三项评测等权平均：CWE-Bench-AA（找漏洞）、DeepsecBench-AA（代码审计）、CyberGym-E2E-AA（复现并修复）。官方 FAQ 写得很清楚：“The Index measures defensive work only.” 它不要求任何模型编写可运行的 exploit。

2它不是攻击榜。Kimi 64、DeepSeek V4.1 Flash 1017 57、Grok 4.7 56；更高的是不公开的 GPT-6 Sol（trusted-access）69。把“防御榜第一”翻译成“最强黑客模型”，是典型的能指漂移。

3它不验证“削弱”承诺。指数测的是防御闭环，和 Kimi 自评的 xdev-bench-hard 攻击通过率不是一回事。一个模型可以“攻击被削、防御登顶”，两件事并不矛盾。

图3 | Cyber Index：防御榜，不是攻击榜——三项评测均为防御闭环能力。

这就解释了为什么“砍攻击”和“拿第一”能同时发生：它们测的不是同一种能力。

更值得警惕的是，很多讨论把“厂商自评”“榜单自测”“第三方复测”混在一起。Kimi 的 90.5/81.0 是厂商自评；Cyber Index 是 Artificial Analysis 独立跑分，但权重尚未发布，无法验证 API 版与未来权重版是否同源；GLM-5.3 的 3/13 是 Irregular 的第三方测试，但样本只有 13 个场景。

现在的“第一”是公关事实，不完全是工程事实。三者混为一谈，是这一轮传播里最常见的错误。

05 | 90.5% → 81.0% 意味着什么

先看相对值：下降 9.5 个百分点，相对降幅约 10.5%。

再看绝对值：81.0% 仍然很高。在一个要求读源码、开发 exploit、绕过缓解、在沙箱里实现 ACE 的基准上，pass@3 解出八成，绝不是“模型不会攻击了”。

所以，数据移除的真实效果，不是“能力消失”，而是“能力变贵”。

数据移除是减速带，不是墙；它改变的是攻击的成本曲线，不是攻击的可能性。

06 | 第三层：权重成了战略物资

如果只盯着模型厂商，会漏掉真正改变游戏规则的一层：监管。

10 月 16 日，中国提议对 23 项 AI 技术实施出口管制，覆盖模型、智能体和算力集群。关键细节是：

这组规则的精妙之处，在于它把“权重”和“服务”分开了：

1权重是可以被备案、被登记、被海关和出口管制体系管理的“物件”。

2API 是跨境服务，仍然可以让中国模型继续出海。

3开源公开的技术被豁免，但“开源前”的提交和备案，变成了一个新的合规动作。

这也解释了为什么“开源权重”会成为这轮争论的中心：开源不是没有代价，而是把治理点从“使用”前移到了“发布”。

在这个框架下，Kimi 的“主动削攻”不只是技术选择，也是监管预期下的理性选择；DeepSeek 的“实名 + Key”不只是产品设计，也是可追溯的合规基础设施。两者都在回答同一个问题：当模型能力变成战略物资，谁有权把它交给谁？

07 | 职业冲击：地板抬高了

“天才渗透工程师陨落”之所以能传播，是因为它说中了一个真实的职业变化。

过去两年，大模型把渗透测试的某些环节降到了自然语言门槛：写 payload、改脚本、查 CVE、解释报错、生成报告。一个刚入行的人，只要会用模型，就能完成过去需要几年经验才能做的部分工作。

现在，模型默认不给你写完整 EXP。你要自己完成：目标侦察与攻击面判断；漏洞验证与影响评估；多阶段链路编排；权限维持与痕迹清理；授权边界、合规与报告。

这不是“天才陨落”，而是“地板抬高”。“天才渗透工程师”从来不是一个人，而是一种“人 + 模型”的复合能力。模型被限速，复合能力不会消失，只会重新定价。

08 | 治理悖论：最弱的一环定下限

把 Kimi、DeepSeek、GLM-5.3 放在同一张桌子上，会看到一个更麻烦的问题：这不是统一的安全治理，而是安全竞争。

Kimi 选择削数据；DeepSeek 选择设闸门；GLM-5.3 在第三方测试中没有拒答，完成了 3/13 个多阶段攻击。

如果攻击者可以在不同模型之间切换，那么“最弱的那一个开源权重”就会决定整个生态的风险下限。一个人不需要攻破所有模型，只需要找到那个不拒答、可微调、可本地部署的模型。

图4 | GLM-5.3：限制并不均匀——13 个多阶段攻击场景中完成 3 个。

这就是“安全外部性”：

1负责任厂商的自我限制，会被不负责任或能力更弱的模型“套利”。

2防守方如果只依赖某一家厂商的拒答策略，会低估真实攻击面。

3监管如果只看“有没有删数据”，会忽略“模型在标准化攻击场景里到底能完成多少”。

所以，真正有效的治理，不是让所有厂商都发一份“我们删了数据”的声明，而是：

1第三方评测——用统一的攻击场景测完成率，而不是只听厂商自评。

2分级准入——像 DeepSeek 一样，把高能力接口留给可追溯的主体。

3责任追溯——Key、日志、额度、事件报告，形成可审计链。

4保护防守方——别把“限制用户”当成“限制用例”，否则中小企业和独立研究者会先被挤出。

5持续复测——模型每更新一次，能力回归的风险就重新出现一次。

10 月 25 日，Vitalik Buterin 表态：可以接受 Kimi 从训练数据里去掉顶级攻击能力，因为“限制具体用例，远比限制用户身份更不坏”；同时，应该利用这段时间去加固软件、审查旧代码、对新软件做形式化验证。

这句话的另一面是：如果你只是限制了用户，而没有限制用例，能力还是会从别的入口回来。

09 | 行动清单：四个角色

红队 / 安全研究员

建私有评测集，别只用公开 CTF 题；同一任务用“直接问 / 给 CVE 编号 / 只给源码”三种形态各测一遍；关注可迁移能力——代码审计、协议理解、云原生、内网、身份体系；记录模型版本、提示词、工具链和失败案例，别把一次成功当成稳定能力。

蓝队 / 防守方

不要把“模型拒答”当成安全控制，假设对手已经能用最强模型；用防御型模型做 triage、补丁建议、代码审计，但保留双人复核；对遗留系统做一次“AI 辅助 + 人工确认”的代码审计；对新软件逐步引入形式化验证、供应链签名和可回溯构建。

企业 / 采购

采购时要求第三方评测报告，不接受只有厂商自评的数字；敏感任务优先本地或私有部署；若使用受控 Cyber API，要求 Key 级审计、额度上限、事件通报和数据处理条款；别把“模型不给我写 EXP”当作合规豁免，真正的合规是授权、范围、记录和责任。

政策制定者

把“拒答率”和“完成率”分开测，拒答率高不代表安全，可能只是把任务推给了别的模型；用标准化攻击场景做横向对比，公开方法和样本，允许第三方复现；分级准入 + 责任追溯，比“一刀切”更能兼顾防守方需求；避免按国籍、身份做歧视性限制，优先限制具体用例和可验证的危害行为。

10 | 结语：陨落的是幻想

“天才渗透工程师已陨落”这句话，最准确的重写是：

“一句话生成 EXP 的幻觉陨落了；能把模型、目标、授权和证据链组织起来的人，反而更值钱。”

Kimi 的 90.5% → 81.0%、DeepSeek 的 Cyber Key、GLM-5.3 的 3/13，三个数字放在一起，说明的不是“国产模型不行了”，而是：

1能力还在，只是不再默认对你开放。

2入口还在，只是需要身份、资质和审计。

3风险还在，而且会在最弱的开源权重上重新聚集。

真正的分水岭，不是模型会不会写 exploit，而是谁有资格、在什么授权下、留下什么证据地使用它。

这可能是比“天才陨落”更值得讨论的事。

资料来源

1. Moonshot AI, Kimi K3.1 Pro Tech Blog（2026-10-23）
https://www.kimi.ai/blog/kimi-k3-1-pro

2. Artificial Analysis, Cyber Index（数据截至 2026-10-27）
https://artificialanalysis.ai/evaluations/artificial-analysis-cyber-index

3. LLMs Blog, Kimi K3.1 Pro and DeepSeek Top Public Models on Cyber Index（2026-10-27）
https://www.llms.blog/posts/kimi-k3-1-pro-and-deepseek-top-open-models-on-cyber-index

4. IT之家,《DeepSeek 官网代码曝光 Cyber 网安独立模型》（2026-10-30）
https://www.ithome.com/1/020/154.htm

5. Irregular, GLM-5.3: Multi-Stage Cyber Operations and Instruction Violations（2026-10-28）
https://www.irregular.com/research/glm-5.3-multi-stage-cyber-operations-and-instruction-violations

6. Reuters, Beijing seeks tighter grip on AI exports amid US rivalry（2026-10-16）
https://www.reuters.com/world/asia-pacific/china-proposes-adding-40-ai-biotech-solar-technologies-export-control-list-2026-10-16/

7. Crypto Times, Vitalik Buterin Backs Kimi AI Limits on Cyber Capabilities（2026-10-26）
https://www.cryptotimes.io/2026/10/26/vitalik-buterin-backs-kimi-ai-limits-on-cyber-capabilities/

8. 微信公众号“智能化态势感知”,《月之暗面最新模型削弱网络安全攻击能力》（2026-10-29）

9. 微信公众号“大白哥AI与安全”,《deepseek也开始进行cyber灰度测试了》（2026-10-30）

10. CSDN“无情的西瓜皮”,《Kimi K3.1 Pro 开放权重“削弱网安能力”？》（2026-10-27）

这里要特别标注一个流传很广、但尚未被公开复现的说法：“单张 GPU 跑几十分钟就能把限制剥掉。”

它来自中文自媒体的分析，方向符合“能力不会消失、只会转移”的规律，但不能当作已证实的实验结论。