拿GLM挖出23个微软漏洞后，顶级白帽古河加入了智谱

A5站长网10月16日消息，安全研究员古河在X上发布动态，宣布自己已经加入智谱。他在社交平台说，会借助前沿AI技术去构建更安全的网络空间。这条人事消息在安全圈里传得很快，因为古河在漏洞挖掘这件事上的履历几乎没有争议。

他此前担任360漏洞研究院院长，连续多年位列微软安全响应中心的年度最具价值安全研究者榜单，在这份年度榜单上登顶的次数之多无人能及，也是第一个登上榜首的中国研究者。另外，被业内称作白帽黑客奥斯卡的Pwnie Awards，他先后拿下过两次，所获奖项是史诗级成就奖与最佳远程漏洞奖。用通俗的话说，这是全球范围内拿过最多顶级漏洞奖项的一线研究者之一。

更有意思的是他这次用的是什么工具。微软安全响应中心不久前一次性致谢了23个漏洞，这些都由古河和他的团队提交，其中一个评分9.8，是高危级的OpenSSH漏洞，未经授权就能远程执行代码。这23个漏洞的挖掘环节，用的正是智谱的大模型。按照微软的处理流程，外部提交的漏洞需要经过微软复核确认并完成修复后，才会在安全更新里公开致谢。

这个流程的门槛值得单独说一句。它意味着公开致谢名单上的每一个名字，背后都是已经过厂商确认和修复的真实问题，不是提交了就算数的记录。23个数量级一次进入致谢名单，本身就是一个可以核验的结果。这不是一次发布会的演示，而是走完了工业界最严苛的一条确认链路。

智谱方面给出的进度是另一组数据。自GLM-5.2起，公司与多支安全团队联手，把真实代码库当成训练场来做漏洞挖掘，经过专家复核和去重之后，累计发现2436个漏洞，其中1097个属于中高危。商业化上，GLM-5.3上线大约一个月，网络安全就变成智谱第一个跑出规模化收入的垂直场景，约有100家安全企业把GLM接进了自己的产品与业务流程。

把三件事连起来看，脉络是清楚的：先是模型在真实代码库里的找洞能力被厂商确认为有效，然后是这个能力开始有人愿意付费，最后是懂这个能力边界的人被吸收进团队。这跟过去两年AI安全叙事常见的路径不太一样——以往多是模型被发现存在安全风险，需要被约束；这一轮是模型作为工具被用于发现别人的问题。同一件事的两面，落在同一家公司身上。

需要保留判断的地方也有。累计发现的漏洞数量是厂商披露口径，行业内对不同工具、不同规则下的计数方式还没有统一标准，2436这个数字更适合当作趋势来看，而不是横向比较的刻度。真正可核验的仍然是被外部厂商确认并公开致谢的部分。古河加入之后能不能把这个比例继续做上去，是接下来值得盯的点。