苏黎世初创公司 0sec Labs 刚刚把自家的全栈 AI 安全框架 0 彻底开源了（采用 MIT 或 Apache-2.0 双许可，最新版本号为 v0.28.4）。它本身不是大模型，而是一套架在 14 家主流模型供应商（涵盖 OpenAI、Anthropic、DeepSeek、Qwen、Kimi 等）和传统安全工具之间的控制平面，单次解出 XBOW 基准挑战的记录成本约为 5.20 美元。相比 Keygraph 的 Shannon、Strix 或已归档的 Alias Robotics CAI 等同类开源工具，0 的优势是把范围从 Web 和源码一口气拉到了二进制逆向与 Linux 内核，还直接提供了 MCP 服务器接口；短板也很刺眼，它不仅仍处于研究预览阶段，而且宣传页上最抢眼的 97.9% 跑分背后，藏着一连串关于靶机崩溃、统计口径撤回和基准污染的硬伤。
先用最快的速度把这套工具的底子交待清楚：
- 干什么用.覆盖漏洞调查、代码审查、Web 渗透、二进制逆向与修复生成，官方披露已在蓝牙、NFC、TIPC 等子系统中向 Linux 内核上游合入了 30 多个 0-day 修复，并挖出过 Wireshark、protobuf.js 等库的 CVE。
- 怎么接、怎么收费.无需本地 GPU，在 Apple Silicon macOS 或 Linux 上一行脚本启动本地浏览器控制台、无头 CLI 或 MCP 服务器；开源版免费（用户自付模型 API 账单），托管版 0cloud 提供 100 美元试用额度，按每次 PR 安全测试 5 美元收费。
- 核心争议.官方自报在 XBOW Web CTF（gpt-5.4 组合）拿到 93/95（97.9%），Cybench（Azure gpt-5.4，3 次重试）拿到 36/40（90.0%），但一次 2026 年的冷启动测试却直接跌到 45/104（43.3%）。
为什么大模型做安全，得套上传统工具的缰绳
大模型直接下场做渗透测试，最大的毛病是爱产生幻觉，给出一堆看着像模像样、实际根本跑不通的漏洞报告。0sec Labs 拿过 Y Combinator 的投资，他们给出的工程解法很务实：不做安全专用模型，而是给通用大模型套上一副名为 Harness（马具/缰绳）的控制流水线，死守先复现再信任的规矩。
这套架构最聪明的地方，是把“发现漏洞”和“验证漏洞”关进了两个互不互通的房间。研究 Agent 先用 bash 调起 curl、python3 和 sqlmap 去趟路，如果碰上编译后的二进制目标，就交给仓库内置的 0verse 引擎，调用 Ghidra（逆向）、angr（符号执行）和 AFL++（模糊测试）去啃硬骨头。等筛出候选漏洞后，系统会专门开启一个独立会话，在没有此前上下文诱导的前提下对每个候选发现重跑 5 轮验证，只有把证据等级从候选一路推到影响坐实（impact-proven），才写进最终报告。
但工程落地远没有架构图那么顺滑。去翻它的 GitHub 仓库就会发现，2026 年 11 月 9 日刚发出的 v0.28.4 补丁，还在修补 Ollama 工具调用流式传输的故障，以及模型拒绝原生工具调用时的报错提示。更现实的门槛在于，仓库 README 明确警告：0verse 引擎默认不会自动安装所有的执行器或模糊测试环境。想在本地跑通二进制逆向和内核挖掘，安全工程师依然得自己去配齐底层重型工具链。
97.9% 与 43.3% 之间：一场罕见的跑分自我拆台
如果只看宣传摘要，93/95（97.9%）的 XBOW Web CTF 成绩单足够让它封神，而 45/104（43.3%）的冷启动低分也很容易被当成大模型某次发挥失常。但只要把 0sec Labs 自己在 2026 年 5 月 17 日发的方法论文章、GitHub 仓库和 XBOW 官方声明拼在一起，就会看到一出比工具本身更有嚼头的行业真相。
跑分榜上的神仙打架，多半死于没对齐的统计口径和未启动的容器。
《孙子兵法》讲“多算胜，少算不胜”，但今天 AI 安全圈的“多算”，往往是把多次重试攒出来的战果算作一次通关。我不太买账的是这套用最优合集包装出来的头条数字，反倒更在意 0sec Labs 被迫交出的那几份“认错书”：
把这三组事实摊开，AI 安全评测的水分就遮不住了。
第一刀切在基础设施上。2026 年 4 月 7 日那场得分为 45/104（43.3%）的冷启动测试，根本不是 AI 突然变笨了，而是 104 个挑战里有 39 个（占 37.5%）在构建或启动阶段就直接发生环境崩溃；如果只算成功跑起来的 65 个靶机，它的条件成功率其实是 45/65（69.2%）。连标准化靶场的容器都接近四成拉不起来， यही就是自动化渗透在工程现场的真实窘境。
第二刀切在统计口径与判卷逻辑上。0sec Labs 在方法论文章里正式撤回了早期 103/104 的总体跑分声明，公开承认把多次尝试攒下来的保留制品（retained artifacts）跟单次尝试（pass@1）混为一谈并不严谨；甚至在 XBEN-079 挑战中，它的判定逻辑曾把一个假 Flag（dummy flag）当成正确答案收下了。更微妙的是，如今那个 93/95 的高分只挂在官方文档页，既没写进 GitHub 主仓库的 README，也没附上可供第三方独立复核的单题证据包。
更讽刺的是靶子本身。各家安全 Agent 还在拿 XBOW 当核心卖点刷榜，但 XBOW 基准测试的官方仓库已经明确把该基准标记为过时且饱和（outdated and saturated），直接警告这些漏洞数据已经混进了大模型的训练集，根本无法再用来区分不同框架的真实本事。这就像早年杀毒软件用固定病毒库跑分、或者自动驾驶厂商在背熟的测试场里刷接管率——只不过当年刷的是规则覆盖，今天刷的是预训练语料的记忆回放。
当安全工具通过 MCP 塞进开发者的编辑器
抛开跑分泡沫，0 的开源依然戳中了两个群体的痛处。
| 方案名称 | 开源许可与状态 | 覆盖范围与逆向能力 | 接入方式与运行门槛 |
|---|---|---|---|
| 0 (0sec Labs) | MIT / Apache-2.0（研究预览） | Web、源码、包、二进制、内核；含 0verse (Ghidra) | Web 控制台、CLI、MCP；支持 macOS / Linux |
| Shannon (Keygraph) | AGPL-3.0（活跃） | Web 应用与 API（需提供源码）；未披露逆向 | CLI、CI Actions；需 Docker 与 Node.js 18+ |
| Strix | Apache-2.0（活跃） | 代码、Web 应用与 API；未披露逆向 | CLI、本地 Web 视图、Agent 技能；需 Docker |
| CAI (Alias Robotics) | MIT + 专有仅限研究（2026-08-28 归档） | 通用攻防自动化；未披露逆向 | CLI/REPL、MCP 支持；推荐 Python 3.12 |
首当其冲的是商业自动化渗透厂商。过去企业买一套自动化渗透服务动辄数万美元，现在 0 用宽松的 MIT/Apache-2.0 协议把控制平面白送出来，接上自家 API Key 跑通一道 XBOW 题目的账面成本只要 5.20 美元，托管版测一次 PR 也才标价 5 美元。哪怕它还需要人工折腾环境，这种把软件底座变成免费公用品的打法，也足以逼得闭源工具重新解释自己的溢价到底在哪。
更深远的变化发生在开发者的桌面上。通过 0 mcp-server --workflows，这套工具直接把 9 个扫描、分诊、漏洞验证（PoV）和报告工具暴露给了 Claude、Codex 和 Gemini CLI 等日常编程 Agent。代码刚写完还没提交，编辑器里的 Agent 就能顺手调起 sqlmap 或 Ghidra 跑一轮 5 次独立验证的攻击测试。
- 提醒.CTF 靶场里的夺旗高分绝不等于真实产线的实战能力。CTF 题目边界清晰、目标单一，而真实企业的渗透测试卡在严苛的授权范围控制、复杂的跨系统业务逻辑和脏数据里；把 0 当成辅助安全研究员筛查低垂果实的本地放大器很划算，但指望靠它省掉人类专家对业务逻辑漏洞的终审，迟早会在生产环境里付出代价。
回到开头那个 97.9% 与 43.3% 的刺眼反差。0sec Labs 敢把撤回 103/104 跑分、误判假 Flag 和 39 个靶机崩溃的家丑摊在方法论博客里，这份诚实比那个没写进 GitHub README 的 93/95 头条更有含金量。接下来真正决定 0 能不能从研究预览走向工程标配的，只有两个硬指标：一是它敢不敢把宣称高分的单题复现证据包完整开源出来，二是在 XBOW 已经被宣布污染作废之后，谁能拿出一套包含环境修复补丁、严格单次尝试成本与防训练集泄露的新基准。在那之前，所有印在海报上的 CTF 满分，听听就算了。