2025年4月26日，由腾讯安全主办、教育漏洞报告平台（EDUSRC）与米斯特AI安全分部联合协办的“锋刃无影·御见未来”技术沙龙在成都圆满落幕。活动邀请云安全、红队攻防、AI大模型等领域的顶尖专家、学术大咖，围绕AI驱动下的安全技术革新、国产系统安全、云渗透实战等议题展开深度探讨，为200余位川渝地区安全从业人员、白帽子呈现了一场技术与实战交融的思想盛宴。

² 前沿议题：技术革新重塑安全边界

1、 大模型驱动渗透测试：从机械扫描到认知推演

绿盟科技高级研究员刘浩提出，传统工具因规则僵化、业务逻辑覆盖不足，难以应对动态任务。其团队构建的智能体（Agent）+Workflow混合架构，通过视觉模型识别登录页面、逆向破解加密逻辑、动态生成攻击载荷，实现复杂场景（如电商下单、加密登录）的自动化漏洞挖掘。该技术已在金融、电商场景落地，推动渗透测试效率提升3倍，助力企业释放人力至高阶分析。

2、鸿蒙安全研究：破解国产系统“隐形护甲”

移动安全专家胡雪松指出，鸿蒙5基于Open Harmony架构，其虚拟机与安卓ART差异显著，其严格签名分发机制与微内核设计构筑独特安全壁垒。团队通过模拟器权限突破、HOOK框架适配、反编译工具开发，填补鸿蒙逆向研究空白，为国产系统漏洞挖掘与防御提供新思路。

3、物理层渗透：红队“沉默凝视”如何防御

联想全球安全实验室伊万揭露新型攻击手法ScreenCrab：攻击者伪装显示器/会议平板，利用EDID协议漏洞窃取会议敏感数据，平均勒索赎金高达500万美元。防御需构建“技术检测+员工意识”双轨体系，结合设备指纹扫描与准入审查，拦截硬件级隐蔽渗透。

4、浏览器攻防：WebAssembly引爆新战场

腾讯云鼎实验室张向伟指出，Wasm新特性的持续引入，导致相关错误风险激增，成为浏览器漏洞新焦点。团队通过差异化模糊测试框架与AI辅助分析，捕获火狐/Safari高危漏洞（如CVE-2023-50933），并提出“优化比对”机制，将语义错误转化为可捕获信号，漏洞分析效率提升50%。

5、AI赋能红队：从钓鱼攻防到供应链突破

独立研究员洺熙构建“规则+智能”混合攻防体系，利用多模态技术伪造高仿真钓鱼内容、模拟目标音视频特征，结合开源情报绘制用户画像，攻击效率提升3倍。其开发的HAE工具链通过AI二次研判过滤90%无效告警，已在0day预测、供应链分析场景验证效能。

6、云上身份安全：AK/SK的“最后一公里”盲区

腾讯云鼎实验室高级工程师张恒揭示攻击者通过STS服务（如AssumeRole）生成临时令牌，攻击者无需创建子账号即可获取控制台登陆的权限，且操作日志难以溯源。防守方需建立“API+控制台”双维度审计体系，通过白名单设置最小权限集合或者黑名单限制高风险API（如CreateRole、AttachRolePolicy等）、校验角色合法性，填补云上身份安全最后一公里盲区。

² 生态共建：众测平台与人才培育双轨并行

腾讯云鼎实验室众测负责人马东辰在本次沙龙活动上正式推出“腾讯众测平台https://zc.tencent.com”。平台采用国标漏洞分级标准，由资深白帽组成的审核团队确保漏洞评估零争议，避免厂商与研究者认知偏差。核心激励策略为“1积分=10元”直接现金兑换机制，拒绝虚设奖励，保障漏洞价值透明化。平台将陆续开放金融、医疗等高价值领域项目，构建可持续白帽生态。

同期，在CSA大中华区秘书长许木娣女士见证下，云安全联盟（CSA）正式任命李鑫为云渗透工作组组长，并推出“云渗透测试认证课程”5折优惠活动。该课程填补云上攻防体系空白，整合行业专家实战经验，涵盖AK/SK利用等前沿场景，助力从业者把握云安全机遇。

² 圆桌洞见：大模型时代，人才如何破局？

在安全419创始人张毅主持下，高校代表上海交通大学信息化推进办公室副主任、网络信息中心副主任姜开达与企业代表绿盟科技应急响应中心负责人罗伟、Theloner安全团队负责人月神、联想全球安全实验室研究员伊万共议AI时代安全挑战：

l 技术迭代：AI推动攻击自动化（如参数生成、漏洞挖掘），但复杂逻辑突破仍依赖人类经验；防守端需聚焦日志降噪、模型投毒防御。

l 人才需求：企业倾向“攻防+开发+AI”复合型人才，高校需强化协议分析、逆向工程等底层能力，产学研联动培养实战技能。

l 从业者策略：善用AI工具提效基础工作（如代码生成），但需深耕技术原理，通过CTF、渗透项目积累创造性思维，破解AI无法覆盖的深层漏洞。

² 未来展望：技术理性与生态共赢

本次沙龙揭示，AI正重塑安全攻防范式：攻击方利用智能体、多模态技术突破传统边界，防守方需构建动态检测、人机协同体系。而无论是腾讯众测平台的“真金白银”激励，还是CSA认证课程的人才培育，均指向生态共建的终极目标——让技术理性与商业价值共振，护航数字化未来。