全球網路安全聯盟（Global Cybersecurity Alliance，GCSA）今日宣布，GCSA Agent在 CyberGym基準測試中取得91.3%的成功率，進入 CyberGym「Leading Systems Above 90%」領先系統區間。

CyberGym是由美國加州大學柏克萊分校研究團隊開發的大型真實世界網路安全評測框架，共收錄1,507個歷史真實漏洞測試案例，涵蓋 188個大型軟體專案，旨在評估AI智能體在真實漏洞分析情境中的實際能力。

與主要評估程式碼理解、知識問答或靜態分析能力的傳統AI Benchmark不同，CyberGym要求AI智能體直接面對真實的漏洞程式碼環境。

在其核心Level 1測試中，AI Agent僅會取得漏洞描述及尚未修復的程式碼庫，並需自主完成程式碼分析、漏洞定位、攻擊路徑推理、PoC建構與執行驗證。只有當生成的PoC能夠在漏洞版本中成功觸發目標漏洞，同時無法在修復後的版本中重現時，該任務才會被認定為成功。

因此，CyberGym衡量的並不僅是AI是否「理解程式碼」，而是AI是否能真正完成從安全分析到漏洞重現與驗證的完整流程。

從大型語言模型走向安全智能體

本次CyberGym測試中，GCSA Agent基於Grok 4.5與Grok 4.6模型運行，最終取得91.3%的成功率。

這項結果也反映出 AI 網路安全領域正在發生的一項重要變化：決定最終安全能力的，不再只是底層大型語言模型本身。真實漏洞研究通常需要連續完成漏洞描述理解、大規模程式碼檢索、攻擊面識別、漏洞假設建立、測試輸入生成、程式執行、回饋分析，以及 PoC 反覆迭代等多個環節。

GCSA Agent 圍繞這一完整流程建構智能體化安全工作流程。其目標並非單純利用大型語言模型進行程式碼分析，而是讓 AI 能夠進入真實執行環境，針對安全問題自主形成假設、蒐集執行證據、進行測試，並最終透過可重現的結果驗證安全發現。

此次 CyberGym 測試，為這項能力提供了一個可量化的外部基準。面向真實世界的漏洞研究能力，

CyberGym的核心價值，在於縮小傳統 AI 測試與真實網路安全研究之間的差距。其評測環境會還原軟體專案在漏洞修復前的程式碼狀態，AI Agent 可能需要在包含數千個檔案、數百萬行程式碼的大型程式碼庫中自主定位問題，並最終生成能夠真正觸發漏洞的 PoC。

更值得關注的是，CyberGym的進一步研究已顯示，這種智能體化安全能力並不侷限於重現已知漏洞。

在開放式漏洞研究實驗中，AI Agent已發現多項此前未知的零日漏洞（Zero-day Vulnerabilities），以及歷史上未被完全修復的安全修補程式，顯示自主漏洞分析技術具備向真實漏洞發現能力延伸的潛力。

對 GCSA 而言，這也是更重要的發展方向。Benchmark 成績並非終點。GCSA的目標，是進一步建立能夠服務真實網路安全情境的AI Security Agent，使其逐步參與漏洞發現、分析、驗證，乃至後續修復的完整安全生命週期。

建構 AI 原生網路安全能力

隨著人工智慧加速軟體開發，AI同樣正在改變漏洞研究與網路攻防的方式。面對規模持續擴大、複雜度日益提升的軟體系統，下一代網路安全體系將愈來愈依賴人類安全專家與自主 AI 智能體之間的協作。

AI Security Agent 有望協助安全團隊：
• 更早發現具有實際利用價值的軟體漏洞；
• 在大型程式碼庫中自動分析複雜攻擊路徑；
• 自動生成 PoC，對漏洞進行執行層級驗證；
• 透過真實執行結果降低傳統安全檢測中的誤報；
• 提升漏洞研判、驗證與修復效率；
• 擴大專業安全團隊可涵蓋的軟體與系統規模。

GCSA Agent 在 CyberGym 取得 91.3% 的成績，是 GCSA 建構 AI 原生網路安全能力的重要階段性成果。

未來，GCSA 將持續推進自主漏洞分析、AI Security Agent 與智慧化網路安全技術研究，進一步將前沿人工智慧能力轉化為真實世界中的安全能力，為建構更加安全、可信且具韌性的數位環境提供技術支援。

來源：GCSA 全球網路安全聯盟

官網：www.gcsa.org

（資料由客戶提供）