AI 画出的攻击路径能用于决策吗CVE2AP 与安全模型的证据约束一、研究事实与核验边界CVE2AP于2026-10-02 14:35 UTC提交早于本次运行的 72 小时窗口作为近期研究补充。论文研究将 CVE 自然语言描述转为 PDDL 模型并使用规划器返回的语法与可解性错误改进生成结果。正文明确区分语法、可解性和语义其自动反馈主要处理前两者不能据此宣称语义已被形式证明。本文未运行原型未复测作者指标也不将模型评判的语义得分当作真实攻击成功率。这是预印本研究没有对应的产品受影响版本或修复版本。二、背景从自然语言到形式结构会丢失什么漏洞公告往往包含“特定配置”“已认证用户”“需要交互”等限制。生成模型时如果把这些语句省略图看起来可能更连贯却表达了更强、也更错误的攻击能力。另一方面现实部署状态不一定写在公告里。某个接口是否可达、角色是否拥有某权限、某组件是否启用都需要资产和配置证据。模型不应因为缺少信息就自动把前提当真。对防守团队更实用的输出应是已证实的关系、明确的假设以及尚缺证据的条件。未知不是否定也不是肯定它意味着当前结果不能独立支撑关单或风险升级。三、三道验收门语法门模型能否被解析检查字段、类型、参数和引用是否完整。它能发现格式错误不能判断漏洞机制是否真实。一个完全虚构的动作也可能拥有合法语法。逻辑门给定前提下是否有结果检查状态转换能否到达目标。这只证明“在模型内部”存在路径。若初始状态被错误赋予管理员权限后续推导再严谨也无法挽救结论。证据门前提与效果是否有外部支撑把关键条件映射到公告、代码或本地观测给引用标注版本和日期。模型新增的能力尤其需要复核。对未被证明的条件应保留假设标签而不是用高置信度语气掩盖缺口。命题所需证据不足以证明的材料组件受影响精确版本与公告范围只知道包名路径可达部署配置或授权测试通用架构图权限满足角色和策略证据模型自行推测补丁有效对应构建及安全回归仅有合并记录四、无害实验可达不代表有证据下面是补丁交付模型不是攻击规划器。它只演示状态可以满足动作前提但缺少必要证据时仍不应执行决策。defevaluate_action(state,action,evidence):missing_stateaction[requires]-stateifmissing_state:returnblocked-by-state,state missing_evidenceaction[proof]-evidenceifmissing_evidence:returnneeds-review,statereturnaccepted,state|action[adds]deploy{requires:{build-ready,test-passed},proof:{build-digest,test-report},adds:{deployment-approved},}ready{build-ready,test-passed}assertevaluate_action(set(),deploy,set())[0]blocked-by-stateassertevaluate_action(ready,deploy,{build-digest})[0]needs-reviewstatus,resultevaluate_action(ready,deploy,{build-digest,test-report})assertstatusacceptedanddeployment-approvedinresultassertdeployment-approvednotinreadyprint(4 checks passed)字符串集合只是教学占位符。生产系统必须验证证据内容、签发者、摘要绑定和时效不能接受调用者随手提交一个“test-report”字符串。否则形式上的证据门仍然可以被伪造。五、自动修复模型时保护哪些不变量如果规划器说“没有解”模型可能通过删除认证前提让路径变得可解。对工程流程而言这属于改变问题而不是修复格式。建议把来源确认的权限、用户交互和配置条件标为不可随意修改并在每次生成差异中重点审查。自动修改可以处理命名、变量绑定和类型错误但新增能力、删除前提或扩大影响需要重新核验。应保留初始输入、模型版本、每轮差异及证据引用便于解释为什么最终结果与第一版不同。对于风险排序建议同时输出“已证实暴露”和“待确认条件”。缺少证据的高影响路径可以触发调查但不应直接作为已失陷事实。对于补丁验收也不能因为模型找不到路径就宣布系统无漏洞。六、研发与安全团队行动P0隔离用途。将生成模型用于辅助分析不让它直接触发生产攻击、凭据变更或自动关单。输出必须标注假设和证据缺口。P1建立证据模式。每个关键前提绑定来源、版本、时间及审核状态对资产事实设置过期条件。让模型的文本解释与结构化条件保持一致。P2构建反例集。加入语法正确但权限错误、有解但版本不符、逻辑自洽但引用不存在的样例。评估系统是否会拒绝这些结果而不只统计能生成多少张图。总结形式化模型能让推理更清楚但不会自动使输入事实正确。防守团队应把语法、逻辑和证据分开验收让 AI 的输出成为可检查的分析材料而非无需质疑的安全结论。