11月3日，在2026年世界互联网大会“互联网之光”博览会—数智创新发布活动现场，天融信（002212）正式发布新一代AI驱动的自动化渗透测试系统——基于RHP架构的安全可控渗透测试智能体。
AI时代，攻防的不对称加速催生攻防技术代差，当AI驱动的攻防对抗已成常态，渗透测试从“依赖预设规则与人工经验”演进为“多智能体协同，自主推理研判”的智能化测试新范式就成了大势所趋。
从规则定义到AI驱动，这不仅是工具的迭代，更是方法论的重构。在数智创新发布活动现场，天融信（002212）科技集团产品总监刘德森介绍，新一代的自动化渗透测试系统以多智能体协同为核心，在未知漏洞发现、漏洞误报消除、测试规模提升、安全能力沉淀、行为安全可控五个维度，实现渗透测试能力的系统性跃升。
聚焦未知风险
深挖逻辑链式漏洞
传统风险检测的边界，往往由特征库所界定，规则之外的风险，天然处于检测的盲区。而真实的安全威胁，越来越多地以逻辑、长链、组合等类型漏洞的形式出现。单点可能不构成高危，但串联之后却足以造成权限失守。
天融信（002212）自动化渗透测试系统自研RHP架构，引入具备自主规划、推理与研判能力的多智能体协作机制，不再局限于规则匹配，而是将业务逻辑置于完整的上下文中加以理解，从资产测绘到数据流分析，从权限关系梳理到多步可达路径推演，智能体能够识别隐藏在复杂业务流程中的风险点，并将孤立的风险点串联为完整的攻击链。渗透测试由此从“已知特征的比对”升维为“未知风险的推演”，显著拓宽了风险发现的边界。
消除漏洞误报
保留攻击链路证据
将没有证据的漏洞直接输出，等于将未确认的风险甩给用户。安全技术人员最深的无奈，不是修补不完的漏洞，而是疲于奔命地应付海量的误报虚警。
天融信（002212）自动化渗透测试系统的设计原则中最重要的一条就是，未经验证的漏洞，不许输出。每条结论都必须附带可复现的PoC、EXP、原始请求与响应。证据闭环，一键复测，当场自证。误报被挡在报告之外，留下的都是可以被修复的问题。
更关键的是攻击链路，从攻击入口到漏洞触发，每一个环节都留下证据。修复的人看得懂“它是怎么被打穿的”，一条完整可复现的攻击链路，胜过一千条孤立告警。
摆脱人工依赖
提升渗透测试规模
传统渗透测试高度依赖专家的持续介入，其测试规模受限于技术专家的数量。核心资产也只能实现定期检测，两次检测之间的空白期就成了攻击者突破的最佳窗口期。
天融信（002212）自动化渗透测试系统实现了渗透测试全流程的自动化，任务规划、动作执行、结果研判均由智能体自动完成，支持7×24小时不间断运行。将专家从繁琐的规划和验证任务中抽离，让智能体打通渗透测试的全部环节。在测试规模上，本系统突破了人力瓶颈，使常态化渗透测试成为可能，覆盖的广度、频次与时效，均获得数量级的提升。
沉淀安全能力
提供专业安全服务
AI不是安全的终解，持续进化的安全能力才是。通用大模型套上扫描器，得到的最多只是一个会写报告的扫描器。
天融信（002212）把三十多年的攻防积累沉淀为丰富的自研工具、SKILLS插件、知识库，并封装成智能体可调用的安全能力，让“想得到”与“做得到”之间没有断点，不断将一线实战经验沉淀为知识能力积累，让产品越用越好用。智能体是大脑，安全工具就是手脚，成功的攻击剧本是三十多年打磨出来的硬实力。
严守安全底线
确保智能体可靠可控
让AI持刀，得先给刀装上鞘。用户的疑虑不仅在于产品“能不能打”，更多的是“会不会乱打”。智能体一旦进入生产网络，越权访问、误删文件、中断服务，任何一项失控都会酿成事故。
天融信（002212）自研RHP架构，把智能体关进“可控的笼子”：授权约定限定目标、权限和操作范围，人机回环让人审批高风险动作，本体黑板管控智能体的行为。智能体越聪明，安全护栏越要硬。思维可以激进，行为必须守矩。
规则和脚本定义了渗透测试的过去，而AI将定义渗透测试的未来。天融信（002212）将坚持AI与安全深度融合，持续打磨可落地、可验证的智能安全能力，以更加可控的技术创新迎接AI时代未知风险挑战，护航智能互联网健康发展。
