Lovable 用 AI 智能体蜂群做内部渗透测试

Lovable 是近年颇受关注的 AI 应用生成平台，其团队近日在官方博客披露了一项内部安全实践：让成群的 AI 智能体持续对自家系统进行渗透测试，并以「可验证的攻陷结果」作为衡量标准。这套机制既解放了应用安全团队，也让人工红队研究员得以把精力集中在高价值漏洞上。

用 flag 作为攻击成功的唯一证据

Lovable 没有采用传统扫描器那种「看起来可利用」的判断方式，而是要求每个智能体必须从本不该触及的系统中取出预设的 flag 字符串，才算真正发现了一个漏洞。这种思路借鉴自 CTF（夺旗赛）比赛，但 Lovable 把规模反了过来——他们不会在系统中故意埋漏洞，而是把 flag 散落在基础设施与高权限产品面的各个角落。如果智能体取到了 flag，意味着它找到了真实的入侵路径。

这一设计直接解决了 AI 安全智能体的一个常见毛病：它们容易过早收手，丢下一堆低危报告后就不再深挖。给目标加上「必须成功」的硬约束后，智能体会一直跑下去，直到拿出可验证的漏洞写报告。Lovable 表示，没有这种可验证目标，安全智能体往往只能产出大量低严重度的「噪音」，真正难啃的漏洞反而被忽略。

最大化攻击面，缩短攻击距离

要让蜂群高效工作，关键是两条原则：一是把攻击面尽量铺开，二是把攻击距离尽量缩短。Lovable 以「工作区内项目间横向移动」为例说明：他们把攻击者以协作者身份放进一个合成的 Lovable 项目，要求它去访问同一工作区内的另一个目标项目。如果连这条最短路径都攻不破，更长的攻击路径自然也无从谈起，因此无需单独构造匿名未授权访问的场景。

为了让智能体能触及每个产品面，Lovable 为主编码智能体背后那些「通常被 LLM 框架挡住」的工具专门开了一条 API 通道，供黑客智能体直接调用；任何没有主动封锁的入口，智能体只要发现就可以自由利用。覆盖越广，调度就必须越精细，否则智能体容易跑偏，把 token 浪费在低价值方向上。

编排、模型选型与提示词技巧

Lovable 强调编排没有银弹，不同环境需要不同的优先级策略。几条经验包括：

• 让智能体自由发散攻击向量，再叠加人类知识排除明显不值得审计的信任边界，「知道哪些地方不用看」同样关键；
• 按漏洞类别挑选模型与规模：某些场景下，便宜模型配合数百个子智能体广撒网、单点深挖，比单个昂贵模型更划算；
• 可以向智能体喂入依赖源码与 CVE 列表作为灵感来源，但不会主动让它们去攻击底层系统。

提示词上有一条反直觉的窍门：不要问智能体「是否存在漏洞」，而要直接告诉它漏洞真实存在、任务就是找到它。前者会让智能体把一次干净扫描当成成功并立即收手，后者因为没有「完成条件」会驱使它持续深挖。Lovable 坦言这种措辞「有点残忍，但有效」。

局限：AI 智能体不替代人类黑客

Lovable 同时明确表示，这套蜂群并没有取代人类红队。智能体仍需要人类做整体协调、安全研究人员在高价值方向上提供灵感，并且公司依然在持续投入底层认证、授权等安全工程。文章承认「这并不算全新事物，只是因为难以像 AI SAST 或智能体渗透测试服务那样商品化，所以目前没有被广泛采用」，要把这套体系跑起来，仍需由熟悉自身系统信任边界与架构的内部团队亲手搭建。

文章结尾写道：「黑客行为历来是一门手艺，智能体驱动的黑客也不例外——这里没有规则，靠的是品味。」