挖洞的人去了模型公司：古河加盟智谱

一个安全研究员值多少钱，过去看他挖过多少洞。现在多了一条：他愿不愿意把自己的名字，和某一个模型绑在一起。

一、发生了什么

10 月 14 日深夜，古河（本名陈雪斌，英文名 Yuki Chen）在 X 上宣布加入智谱，做网络安全方向的研究。智谱 Z.ai 负责人李子玄第一时间回应，说他会继续帮社区用 GLM 构建更安全的网络空间。

古河的履历在国内安全圈属于顶格：前 360 漏洞研究院院长，在趋势科技做过安全研究员，也在赛博昆仑做过首席技术官兼昆仑实验室负责人；多次排在微软 MSRC 年度最具价值安全研究者榜首，是登顶次数最多的研究者，也是第一个登顶的中国人；两度拿下被称为"黑客奥斯卡"的 Pwnie 奖，一次是最佳远程漏洞，一次是史诗级成就。

他给出的"投名状"是一批漏洞。官宣推文里列了 23 个由他和 GLM 一起发现、并获得 MSRC 致谢的漏洞，其中一个 OpenSSH 的远程未授权代码执行漏洞，评分 9.8。按微软的流程，外部提交要经复核确认、修复完成，才会在安全更新里致谢——这 23 个已经走完了全程。

智谱披露的数字更值得看：从 GLM-5.2 起，他们联合多支安全团队在真实代码库里挖洞，经专家复核、去重后累计 2436 个，其中 1097 个属于中高危。GLM-5.3 发布约一个月后，网络安全成了他们第一个规模化收入的垂直场景，约 100 家安全企业把 GLM 接进了产品和业务流程。

这条路径其实很朴素：把真实代码库当题库，把复核过的漏洞当分数。安全是少数能用"找出了一个真洞"来证明能力、而不是靠榜单排名的领域。对客户来说，一个能复现的高危漏洞，比任何评测分数都有说服力。

二、跟你有什么关系

企业安全负责人。 采购清单里会多出一项"模型辅助审计"。它替代不了渗透测试，但能把"翻一遍老代码"的成本压下来。

安全从业者。 稀缺的不再是会用工具，而是能判断模型报出来的洞是真是假。误报会明显变多，复核这项能力会变贵。

模型公司。 安全从合规成本变成了卖点。谁手里有真实漏洞库、真实客户，谁的模型在这一行才站得住。

三、怎么用

1. 拿历史漏洞做回归。 找三个已经修复的 CVE，让你手上的模型复现，看它能不能定位到具体函数，而不是只说"这里可能有风险"。
2. 让模型提假设，人做验证。 9.8 分那种洞，误报的代价不比漏报低——你可能为一个不存在的漏洞停掉服务。
3. 要求输出带证据链。 文件、行号、触发路径，三样缺一样就丢掉这条结论。
4. 记录工时和命中率。 每次 AI 辅助省了多少人时、报出的洞有几个是真的。三个月后再决定要不要扩大范围。
5. 先划边界。 生产环境的补丁、对外披露的时间表，仍然由人定。

四、三个别信的说法

「模型能自己挖洞了，安全团队可以减人。」 2436 个漏洞是"多支团队 + 专家复核 + 去重"之后的结果，每一个环节都要人。模型提高的是候选数量，不是结论质量。

「拿了 Pwnie 的人去了，模型就一定强。」 一个人的判断力不会自动变成模型能力。更现实的解释是：他能设计出更难的题目，让模型在真实代码上反复迭代。

「100 家安全企业接入，说明已经是行业标配。」 国内安全企业总数远大于这个量级，接入也不等于在生产环境里常态使用。真正的信号是续费和调用量。

五、一句话结论

模型厂抢安全的人，不是要做杀毒软件，是要把"能挖到真洞"变成自家模型的信用背书。

信息来源

• 智东西：顶级华人白帽黑客，加盟智谱（2026 年 10 月 15 日）

功能与价格以官方公告为准。本文写于 2026 年 10 月 18 日。