找漏洞也交给智能体：360 在 WAIC 开放“图龙锋”试用

哇哦AI

360 数字安全集团在 WAIC 2026 官方企业目录使用的品牌图。 来源：WAIC 2026 官方企业目录

传统代码扫描会抛出一长串告警，真正费时间的是判断哪一条能被利用、怎样复现、该改哪里。

360 在 WAIC 2026 期间开放试用的“图龙锋”，想让智能体继续完成这段分析工作：读取代码、追踪数据流、推理漏洞路径，再把验证和修复线索交给安全人员复核。

它交付的目标不是更多告警，而是一条可复核的漏洞路径
图龙锋在 7 月举行的 ISC.AI 上发布，并从 7 月 20 日开始开放试用。360 官方列出的首批对象主要是企业、重点行业、信创单位和关键基础设施相关单位，申请后还要经过场景审核。

产品把大模型、安全知识库和多个任务智能体组织在一起，关注 SQL 注入、命令执行、反序列化、鉴权绕过等代码安全问题。与只匹配规则的扫描器相比，它试图继续追踪变量怎样流动、攻击条件是否成立，以及修复后是否还能复现。

中央广播电视总台央广网的 WAIC 报道确认，360 在大会论坛上宣布开放图龙锋试用。这个时间点让它不只是展商目录里的公司介绍，而是本届大会期间可继续跟踪的产品动作。

安全智能体最重要的环节仍然是人在回路中
漏洞判断不是普通问答。误报会让团队浪费时间，漏报可能留下风险，自动生成的验证代码也需要严格限制运行环境。因此图龙锋更适合作为安全分析助手，而不是替代代码审计和授权测试。

官方披露了已发现漏洞数量和获奖记录，但这些汇总指标没有完整的独立测试集、误报率和复现条件，本文不据此推导产品效果。安全团队真正需要核对的是支持什么语言和框架、代码怎样上传、数据是否离开内网，以及每个结论能否追溯。

试用入口采用预约审核也符合这一产品边界。它不是让普通用户输入一个网址就“攻击测试”，而是面向有授权代码和安全责任的组织，在受控环境中辅助排查。

开放试用之后，三个指标比演示更值得看
第一是可验证性：智能体指出漏洞后，能否给出清楚的数据流、触发条件和修复前后差异，让工程师自己确认，而不是只输出一段看似专业的解释。

第二是部署与数据边界。企业源代码通常属于最高敏感数据，是否支持私有部署、模型调用经过哪里、日志怎样保存和删除，会直接决定它能不能进入真实研发流程。

第三是与现有工具的配合。成熟团队已有代码仓库、CI、漏洞管理和工单系统。图龙锋若能把结论稳定写回这些流程，才会从一次安全演示变成每天能用的工程工具。

想继续了解
• 360：AI 漏洞挖掘智能体图龙锋开放试用
• 央广网：360 在 WAIC 开放图龙锋试用
• 360 数字安全集团
• WAIC 2026 官方企业目录

热心市民王先生

预约审核这个卡得对，不然谁都能拿它扫网站就乱了。

木子李

重点是数据边界，私有部署才敢把源码喂进去。