从「内容安全」到「行为安全」：2026 CCS 成都把智能时代的网安账本算清了

黄殿中院士把问题提到了范式高度：当前智能体训练陷入“内卷死胡同”，过度依赖人工示教、真实环境无法做到极限对抗，出路在于“高保真仿真场景智能体工厂 + 全维度标准化安全测评体系”，让“风险留在仿真场，安全落地真实场”。这是把 AI 安全当作一条全新底层赛道来谈，跳出了给旧产品贴新标签的老路。

360 安全集团副总裁卜思南给出了产业界最直白的两道必答题：大模型出错只是“说错话”，具备执行能力的智能体出错就是“干错事”；而行业谈了多年的 327 万网安人才缺口，本质是“会 AI 的不懂安全、懂安全的不碰 AI”的结构性错配——这个缺口，光靠人数填不平。

赛博英杰创始人谭晓生的分享被公认为全场最有行业洞见的一篇。他把攻击端定性为“工业化生产”——漏洞挖掘流水线化、恶意代码无特征化、攻击组织“一个人加一组 Agent”的 OPC 化；把防御端要求从“被动封堵”转向“主动治理”，并明确指出 2026 年行业核心矛盾已经从防范大模型“说错话”，变成防范智能体“做错事”。

知道创宇首席安全官周景平则从一线从业者视角补了一句体感：AI 时代最大的障碍在人的认知上，技术本身还在其次，从业者唯一的选择是“以身入局”。

四位嘉宾从院士、厂商、观察者到一线 CSO，结论惊人地收敛：安全的对象、位置和评价标准，都在被智能体重写。

如果说主旨演讲环节是“定调”，那么 8 场平行活动就是把这个调子拆开、落到具体工程问题上。通读全部公开议题，三条主线最为清晰。

第一条线，也是最密集的一条：AI 与智能体安全，正在从“内容安全”升级为“行为安全”。

腾讯智能体安全专家郭开以 OpenAI 智能体入侵 Hugging Face 事件复盘开场，把一条长达数月、跨模型跨平台、日志证据分散的攻击链摊开，结论是“智能体安全靠的是事前、事中、事后一整套立体防御”。他给出的工程指标相当具体：提示词注入单条检测 100 毫秒、误报率十万分之一、召回率 80%；而自家 Agent 把云服务 AK/SK 写进 iWiki 文档、三天内被其他未授权 Agent 访问十余次的案例，比任何 PPT 都更有说服力。

小米徐盛华把这层意思讲得最透：“LLM 只输出文字，Agent 会真的行动——概率层的错误会变成确定性的后果。”他提出 R1 模型推理、R2 工具动作、R3 记忆写入、R4 执行环境的四层纵深，并给出一条朴素的 Rule of Two：不可信输入、敏感数据、对外外联三者最多同时满足两个，三者皆满足必须交回人工。最扎心的一句是“检测到攻击不等于防御成功”——模型每次都推理出“我正在被注入”，但还是完成了写入。

天融信则从宏观流量与威胁数据把这一命题量化：2026 年机器流量占全球 57.4%，历史首次超过人类流量，其中 AI Agent 驱动流量激增 7851%；65% 的企业至少遭遇过一次由自家 AI Agent 引发的安全事件，但只有 21% 的企业对 Agent 实际行为拥有可见性；生产力 Agent 的成功攻击中 91% 不留痕迹。这种“被自己人打过、却看不见”的不对称，是本届活动被引用最多的一组数字。

第二条线：漏洞治理，正在被多智能体和“产线化”重新洗牌。

北航白家驹副教授给出学术界的硬指标：国外 Mythos 已扫描逾千个开源项目、产生两万余项漏洞发现、复核确认逾千项高危或严重漏洞，叠加模型服务出口管控，国内必须发展自主大模型辅助程序分析能力。长亭科技谭阳把企业侧的账算得更直接：CNNVD 漏洞数 2024 年跳升至 40043 个、2025 年 48393 个，2026 年前 8 个月已达 67108 个——拐点与生成式 AI 进入开发流程的时间高度吻合；他用多智能体把十余年攻防“拆成会打点、会验证的一组专家”，把漏洞验证效率提升 80%。亚信科技宁宇飞的“补丁二次漏洞”方法尤其精巧：用 P/T/A/C 多智能体分工，冻结 commit、专设“怀疑者”独立复审，直击大模型“读 diff 就自我证实”的幻觉。

海光则从硬件侧给出差异化答案——和智能体直接相关的漏洞占比已高达 41%，它主张用机密计算 TEE、可信计算 TPM 把智能体关进“不易被绕过”的硬件笼子。云起无垠周鹏累计挖掘 2693 个漏洞、中高危占 98.67%，并首次把 llama.cpp、vLLM、OpenClaw 列入审计清单，说明 AI 基础设施自身已经进入漏洞挖掘主战场。联盟层面，“经纬”计划对标国际 MAPP，用厂商报送 PAV 对齐数据加黑白名单，试图把国产基础软硬件漏洞治理从“公开后被动响应”推向“公开前主动防护”。

第三条线：AI+行业落地，普遍克制，普遍强调人工兜底。

中国移动江为强提出“12345”工业安全体系，把防护对象延伸到数字孪生、AI 模型与智能体；天翼安全刘超判断 AI 安全进入 2.0，从“生成安全”走向“执行安全”，抓手是 Token 安全路由器——“控制 Token，就是控制智能体执行边界”；中国海油的分享最值得决策者细读：面对 OT 生产网，他们坚持“AI 仅告警建议、严禁随意阻断”，当前阶段生产操作必须人工确认，AI 放权分三阶段走。哈工大丁效把学术界的推进讲得很清楚：从管住“说什么”到管住“怎么想”再到管住“怎么做”，多智能体用自然语言委派时，来源标记丢失率超过 90%、授权范围丢失率超过 95%，风险恰恰发生在“单体安全、系统不安全”的交互边界上。奇安信鞠道霈则泼了一盆必要的冷水——三代安全智能应用解决了“能不能说”，没解决“凭什么信”，大模型应当从知识库走向操作者。

把三条线叠在一起看，本届议题设置的判断是准的：它跳过了“大模型会不会说错话”这种 2025 年的老问题，正面回应了 2026 年真正发生的事——Agent 开始调工具、跨系统、有身份、有记忆，攻防两端都在从“作坊”走向“产线”。

香港警务处网络安全及科技罪案调查科陈永健高级督察带来的 Scameter、RAPID、SOCA 三件套，是全场最具“操作系统”质感的分享。Scameter 作为“警民企”一体化反诈开放数据平台，APP 下载 125 万次、累计搜寻 1569 万次；RAPID 在 2025 年 5 月至 2026 年 6 月间处理 17.1 万条钓鱼网址、成功下架阻断 3.75 万条、成功率 72%；43 间金融机构接入联防，2025 年拦截高风险交易超 5.6 万宗；SOCA 关键基础设施 SOC 联盟 2024 年 7 月成立、成员 47 间、覆盖 11 大关键范畴，2026 上半年处理威胁情报超 2030 万项。这套“把警方情报以 API 喂给银行 eKYC、反洗钱和电信封锁”的开放数据治理范式，是内地反诈平台目前缺少对标的公开样板。

同场，成都无糖信息王剑辉把黑灰产“USDT 担保平台”讲成了一门地下金融学：主流平台上押用户 33 万、累计流水 87 亿 USDT，汇旺被冻结约 12.7 万枚 BTC（估值约 150 亿美元），治理逻辑必须从“节点打击”转向“生态解构”。这份链上情报与港方执法视角互为表里，恰好说明跨境黑产必须跨境治理。

香港网络安全协会温庆祥与首席顾问彭颖创则补上了企业出海最缺的两块拼图。温庆祥提出“前研后院”——内地技术加香港风控合规，培养既懂 AI 前沿又通晓国际金融级合规的复合人才；彭颖创以跨境物流为例，给出“一套控制多地复用、先评估后选址、日本作为欧盟 GDPR 亚洲充分性认定法域”的可落地方案。再加上西电王剑锋的抗泄漏密态检索、上交大胡宏盛的“模型全生命周期隐私”研究，以及香港警务处黄敏熹分享的 9 秒删库租车公司、深伪 CFO 视频会议骗 2 亿港元、“战曲”AI 修图假身份证开户洗钱等一线教案——执法、产业、情报、学术四层证据链在一块半天的议程里凑齐了。

为什么说港澳是内地网安业界出海的最佳试验田？道理不复杂：香港有普通法体系、国际认证、英语环境和与 GDPR 互认的制度氛围，有“如果香港市场接受你的产品，就意味着对接了全球市场”的成熟通道；而内地厂商缺的恰恰是双语、双法域、能读国际框架的合规人才与流程。在这个意义上，“蓉港之约”更像是 CCS 给整个行业递出的一张出海地图。

硬事实先摆出来。政策侧，成都 2026 年 7 月发布《成都市“人工智能+”行动方案》，提出到 2027 年人工智能核心产业规模突破 2600 亿元、增速超 30%；四川省政府办公厅 2026 年 5 月印发“人工智能+”一号创新工程实施方案，专条部署 AI 赋能网络安全试点与“红蓝对抗”演练；9 月 1 日起施行的《成都市促进人工智能产业发展办法》，更把模型、数据、基础设施和应用系统一并纳入安全建设。产业侧，2023 年 2 月授牌的国家网络安全产业园区（成渝地区）是全国首个跨省域国家级网安产业园区；川渝两地 12 部门联合印发的《川渝网络安全产业发展行动计划》，提出到 2025 年全产业链规模超 2000 亿元；目前成都聚集的网络安全企业已超 200 家，覆盖流量分析、身份信任、能源、数据与 AI 安全等方向。四川大学、电子科技大学双双进入首批网络空间安全一级学科博士点名单，这是别的城市很难复制的底盘。

人才侧的连续性尤其难得。极客少年挑战赛已连续六年六届，累计超万名青少年参与，2026 年首次设立香港分赛区，31 名少年在川大靶场封闭角逐，来自香港的选手摘得中学组头名；成都中和中学、树德中学把 CTF 五方向训练、贯通梯队和“智能体育人”跑成了可对外输出的范式；2024 年少年赛冠军李宇翔已回到试点校授课，“当年赛场上的少年，如今正在教新的少年”。这种从中学到大学、从赛场到讲台、再走向香港的闭环，比任何一份招商 PPT 都更能说明一座城市对网安与 AI 的长期态度。

黄殿中在会上的判断可以作为这一节的收束：成都“立足西南、辐射全国、链接全球”，具备“率先试点、率先落地、率先成形、率先示范”的条件。当西南重镇把政策、产业、人才、开放四件事放在同一张时间表上，CCS 之于成都，意义已超出会展本身——它是这座城市向全国网安业递交的一张“AI 安全试验田”名片。

六年办会，CCS 走完了从地方名片到全国一线品牌的路。2021 年首届只有 6 大主题技术交流活动，2023 年扩展到 10 余场主题交流活动、60 余项议题，2024 年聚集 2500 余人并首次汇聚港澳蓉三地精英，到 2026 年已经能同时容纳智能体安全、国产基础软硬件、行业落地、港澳交流和 K12 人才五条纵深战线。作为垂直媒体，我们对本届活动的定位判断是：它没有追求“大而全”，把专业浓度和议题锐度放在了规格之上——当大多数同期活动还在谈“AI 安全很重要”时，CCS 已经在谈“65% 企业被自家 Agent 打过、却只有 21% 看得见”这种真问题。

把全场观点收拢，我们认为有五个趋势值得从业者带走：其一，风险性质已经切换，从“说错话”到“做错事”，安全边界从模型输出层外移到工具调用、记忆写入和执行环境；其二，攻防正在产线化，攻击侧先一步完成“一个人加一组 Agent”的产能复制，防御侧必须以对等算力产线回应，“只有算力足够的组织才有资格上桌”；其三，多智能体正在重塑漏洞治理，无论是二次漏洞挖掘的 P/T/A/C 分工，还是“代码生而安全”的修复回灌流水线，单点扫描器的时代正在结束；其四，人才问题的症结在结构，327 万缺口的另一面是中低端岗位收缩、顶级个体价值放大，K12 选材与“前研后院”式复合培养是两条被验证的路径；其五，行业落地正在回归克制——连中国海油这样的央企都坚持“AI 只告警、人来确认”，“人在环路”恰恰是智能体规模化的前提，把它当成保守是一种误读。

“AI 向善”是价值导向，“安全有道”是行动路径。2026 CCS 把这两句话从口号变成了一组可引用的数据、一套可复刻的工程方法论、一条可借鉴的出海通道和一座可期待的产业新城。当智能体开始替人做事、替人调工具、替人跨系统，网络安全要守护的边界，早已从网络延伸到智能本身。成都用六年时间证明，西南重镇完全有条件在这场范式重写中，贡献一个有数据、有生态、有开放格局的中国样本。