文章总结： pwn.ai披露全球首例由AI智能体独立发现的CVSS10分高危RCE漏洞CVE-2025-54322。AI实现了从仿真到攻击路径构建的全流程自主化，标志着漏洞挖掘迈向工程化。该漏洞攻击门槛低且尚无补丁，数万台设备面临风险。建议隔离设备、部署WAF并加强资产排查，厂商需构建智能防御体系以应对AI加速挖掘带来的挑战。
综合评分： 80
文章分类： AI安全,漏洞预警,漏洞分析
零人工干预！全球首例 AI 智能体锁定 CVSS10 分高危 RCE 漏洞
易云安全应急响应中心
2026年1月7日 17:04
江苏
点击蓝字，立即关注
近日，网络安全机构pwn.ai披露了编号为CVE-2025-54322的漏洞。该漏洞不仅以CVSS10分满分评级跻身顶级风险行列，更重要的是，其发现过程本身具有里程碑意义——这是全球首例由自治AI智能体独立发现并公开的可远程利用零日远程代码执行（RCE）漏洞。
这一事件标志着AI在网络安全领域的角色，正从“辅助分析工具”迈入“自主漏洞发现者”的新阶段，也预示着网络攻防格局正在发生深刻变化。
1
AI不再只是工具，而是“猎手”
根据公开信息，此次漏洞并非由传统安全研究员或规则驱动的扫描器发现，而是由一组自治运行的AI智能体完成。
与以往自动化扫描工具依赖人工设定规则、手动分析结果不同，这些AI智能体实现了从目标理解到攻击路径构建的全流程自主化：在几乎没有人工干预的情况下，完成了设备固件仿真、攻击面识别，并最终成功设计出可利用的入侵路径。
研究人员为智能体设定的指令极为简单，仅要求其“仿真目标设备并尝试获取未授权控制权”，但系统在短时间内便精准定位到核心突破口，并验证了完整的攻击链路。
业内普遍认为，这种能力已经超越了传统意义上的“自动化漏洞扫描”，更接近于具备策略规划与自主探索能力的“攻击型智能体”。
2
满分RCE漏洞，攻击门槛极低
从技术层面看，该漏洞属于预认证远程代码执行漏洞，攻击者无需任何登录凭据，即可直接对设备执行任意系统命令。
公开的技术分析显示，攻击者仅需构造特定HTTP请求头，通过绕过设备内置的Web中间件安全校验，便可实现远程控制。整个利用过程不涉及复杂条件判断或多阶段链路，攻击门槛极低，但危害范围极大。
更值得警惕的是，这类设备通常部署在企业分支机构、远程办公节点、工业网络边缘环境等关键位置，是企业网络连接的重要枢纽。一旦被攻破，极有可能成为横向渗透和内网扩散的入口，进而引发连锁安全风险。
3
数万设备暴露公网，漏洞尚无补丁
从影响范围看，问题同样不容乐观。网络空间测绘平台的数据显示，全球范围内仍有数万台相关设备直接暴露在公网，覆盖多个地区和行业，形成了庞大的潜在攻击面。
而在漏洞处置层面，该漏洞尚无官方补丁发布。披露方在技术文档中提到，其曾在较长时间内尝试通过负责任披露方式与相关厂商沟通，但始终未获得有效反馈，这也成为其最终选择公开漏洞信息的重要原因。
在AI加速漏洞发现效率的背景下，厂商响应迟缓所带来的风险，被进一步放大。
4
AI 驱动漏洞挖掘，正在成为趋势
事实上，AI参与漏洞挖掘早已不是新鲜话题，但此次事件的特殊之处在于——AI首次以“主导者”身份完成了从发现到验证的全过程。
长期以来，漏洞挖掘高度依赖安全研究员的经验积累，即便引入自动化工具，也需要人工制定策略、筛选结果。而具备自主探索能力的AI智能体，则可能推动漏洞发现从“手工艺式”作业，转向更高效率的“工程化”甚至“规模化”生产。
这一趋势在国内同样有所体现。近年来，多家企业和研究机构已开始探索AI在零日漏洞挖掘、二进制安全分析等领域的应用，通过深度学习与智能推理技术，提升漏洞发现效率、降低误报率。业内普遍认为，AI智能体的引入，将显著改变未来网络安全攻防的节奏。
但与此同时，零日漏洞的“发现—利用”周期被极大压缩，也可能加剧攻防对抗的烈度，对安全治理提出更高要求。
5
多家安全机构发布风险提示
在漏洞尚未修复的情况下，多家国内安全机构已发布风险提示，建议相关用户立即采取临时防护措施，包括：
隔离关键网络设备，避免直接暴露公网；
启用 Web 应用防火墙，对异常 HTTP 请求进行拦截；
加强日志审计与访问监控，及时发现异常行为；
梳理自身网络资产，排查边缘设备暴露情况。
从更长远看，此次事件为企业敲响了双重警钟：一方面，随着 AI 漏洞挖掘能力不断提升，产品安全短板将更难被掩盖；另一方面，企业自身对网络资产、边缘节点的安全管理能力，将直接决定风险暴露程度。
网络安全专家指出，AI 时代的安全防护，不能只依赖“补漏洞”，而需要构建“智能防御 + 规范治理”的双重体系。
厂商需要将智能化安全检测纳入产品研发与测试流程，提升漏洞响应速度；监管层面则需完善漏洞协同处置与披露机制；而企业用户，也应建立常态化的资产排查与风险评估能力。
当 AI 成为发现漏洞的“加速器”，唯有多方协同，才能确保技术进步不会反噬网络安全本身。
文章来源 ：安全客
免责声明
本文素材(包括内容、图片)均来自互联网，仅为传递信息之用。如有侵权，请联系我们删除。
END
淮安易云科技有限公司–网络安全部**
我们致力于保障客户的网络安全，监控事件并采取适当措施，设计和实施安全策略，维护设备和软件，进行漏洞扫描和安全审计,团队协调处理网络攻击、数据泄露等安全事故，并负责安全服务项目实施，包括风险评估、渗透测试、安全扫描、安全加固、应急响应、攻防演练、安全培训等服务，确保客户在网络空间中的安全。
易云安全应急响应中心
专业的信息安全团队，给你最安全的保障。定期推送漏洞预警、技术分享文章和网络安全知识，让各位了解学习安全知识，普及安全知识、提高安全意识。
扫码关注
点分享
点收藏
点在看
点点赞
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：易云安全应急响应中心 《零人工干预！全球首例 AI 智能体锁定 CVSS10 分高危 RCE 漏洞》