ATM架构Demo测试

01引言：从论文到代码

2026年4月29日，CVE-2026-31431（”Copy Fail”）被公开披露。这是一个存在于Linux内核authencesn加密模板中的本地提权漏洞，通过splice()零拷贝机制与AF_ALG socket的交互，实现对任意可读文件page cache的4字节受控写入。该漏洞自2017年潜伏至今，被Theori研究员Taeyang Lee发现，并由Xint Code团队通过AI辅助分析扩展为完整利用链。

Copy Fail的发现过程引起了我们的注意——不是因为漏洞本身，而是因为其发现方法与LEECHO研究所此前发表的ATM方法论论文（《Mythos发现的0日Bug溯因分析》）在结构上完全同构：人类研究员提供方向性洞见（”AF_ALG + splice()暴露page cache引用”），AI在缩小后的搜索空间内做定向扫描，约1小时内命中漏洞。这促使我们决定将ATM方法论代码化，构建一个可运行的原型工具，并在实际目标上验证其有效性。

02ATM Scanner架构

ATM Scanner是一个基于React的单页应用，通过Claude API实现ATM方法论的五步自动化流程。每一步的输出串联至下一步作为上下文输入，形成因果推理链。

2.1 五步流水线

2.2 技术实现要点

Scanner通过Claude Messages API以流式模式（SSE）调用模型。开发过程中遇到并修复了两个流式解析bug：（1）TextDecoder未启用stream: true模式，导致中文UTF-8多字节字符在chunk边界处被截断；（2）SSE数据行可能跨chunk分割，导致JSON解析静默失败丢失内容。修复后增加了行缓冲机制，确保只解析完整的SSE数据行。

模型选择方面，Scanner提供了Opus 4.6、Sonnet 4、Haiku 4.5三档选择，配合可调的max_tokens滑块（2K-16K）。后续测试证明，Step 4和Step 5的中文输出在16K tokens以内可完整生成。

2.3 预设扫描场景

ATM Scanner内置了三个预设扫描场景，每个场景包含目标系统描述、已知历史、已知漏洞对照组、以及ATM分析指令。以下为三个场景的完整输入文本：

三个场景的设计遵循ATM论文的核心原则：提供”往哪里看”的方向性信息（已知漏洞作为对照组 + 关键设计假设），而非”找什么bug”的具体指令。Scanner的AI分析模块在此基础上自主执行考古分析→接缝标记→定向扫描→规则提取的完整流水线。

03实测一：Linux splice()下游扫描

第一个预设场景以splice()的零拷贝下游消费者为目标，输入包含Dirty Pipe和Copy Fail的已知信息作为对照组。

生成的规则R1（平行写入通道规则）和R2（假设地层断层规则）均通过Linux内核文档和已知CVE的交叉验证。特别是R2对address_space三次语义易主（1991年VFS私有→2001年VFS/MM共有→2007年MM可主动撤销映射）的分析，精确匹配了内核开发历史。

04实测二：TCP协议栈接缝扫描

第二个预设场景以Linux TCP协议栈为目标，涵盖从RFC 793（1973）到BBR（2016）横跨44年的设计代际。这是三次测试中输出最丰富的场景。

4.1 考古分析输出评估

ATM Scanner识别出五个关键设计代际，时间线完全可验证。特别值得注意的判断包括：TSO将序列号推进从”物理字节发送”解耦为”内核抽象计算”——这个洞见直接决定了后续接缝标记的质量；BBR的RTprop测量假设（路径透明性）在现代中间盒生态中已结构性缺失。

4.2 接缝标记与定向扫描

Opus 4.6的完整输出标记了5个高危接缝和4个中危接缝，并发现了接缝之间的两条耦合链：

4.3 接缝新颖性验证

对ATM Scanner标记的每个接缝进行了公开文献检索，以确定其为已知漏洞、已知但未被利用的设计缺陷、还是全新的未研究区域。

验证结论：五个高危接缝中，三个（S1、S2、S5）为ATM Scanner的原创性发现，在公开文献中无对应CVE或安全研究；一个（S3）为已知但从安全视角重新定义；一个（S4）为部分已知。这一结果表明ATM方法论能够系统性地标记传统安全审计和模糊测试结构性失明的区域。

4.4 关键发现：接缝耦合链

Opus在扫描过程中发现了一个在原始标记中未被预期的结构性风险——五个高危接缝存在两条耦合链，单一触发事件可同时激活多个接缝：

这一发现体现了ATM方法论的核心价值：单接缝分析会低估系统性风险，只有通过溯因推理追踪假设层的冲突传播路径，才能发现接缝之间的放大效应。

05实测三：VFS × MM层间接缝扫描

第三个预设场景以VFS（虚拟文件系统）与内存管理子系统的交互为目标，涵盖从1991年Linux VFS初始设计到2023年folio API引入的33年设计代际。该场景直接对应Dirty Cow和Copy Fail的漏洞家族。

5.1 考古分析：五代设计的假设鸿沟

ATM Scanner识别出VFS与MM之间存在一个持续扩大的”假设鸿沟”：VFS操作层始终假设write_begin到write_end之间目标页面处于独占可写状态；MM层在多核优化压力下逐步演化为页面可被多个路径并发引用，所有权通过引用计数+锁的组合动态协商。这两种假设在设计上相互排斥，但没有任何一次重构明确处理过这个矛盾。

关键的五次代际跨越被精确识别：第一代（1991 buffer/page分离）→ 第二代（2001 page cache统一化，所有权分离被打破）→ 第三代（2004-2008 NUMA/多核扩展，引用计数中间态出现）→ 第四代（2013 THP复合页面，粒度语义分裂）→ 第五代（2020 folio引入，试图修复但造成双轨并存）。

5.2 接缝标记与定向扫描

5.3 SEAM-03：最危险的结构性缺陷

SEAM-03被标记为9/10最高风险，原因是它不需要竞争条件即可触发——这在三次测试的所有接缝中是独一无二的。具体机制如下：

Scanner给出了精确的扫描坐标：mm/filemap.c中filemap_get_folio()与find_get_page()并存路径，fs/ext4/inode.c中ext4_write_begin()的folio迁移状态，以及include/linux/pagemap.h中lock_page()与folio_lock()的分叉入口。

5.4 生成规则

VFS × MM扫描提取了4条生成规则：R1（独占假设幻觉）、R2（补丁创可贴重现）、R3（渐进迁移双轨窗口）、R4（计量粒度分裂）。其中R3与TCP协议栈扫描的R4（双轨状态机回归）构成跨子系统的同一元模式——不同的输入最终指向相同的底层漏洞生成机制，验证了生成规则的收敛性。

06前瞻性预测验证：SEAM-03与真实CVE的精确命中

在完成VFS × MM扫描后，我们对所有接缝进行了公开文献检索。结果发现了ATM方法论迄今为止最强的验证证据：SEAM-03（folio双轨并存接缝）被至少三个真实CVE精确命中。

CVE-2026-23097的Red Hat安全公告描述尤为关键——它明确指出漏洞根因是“folio_lock与i_mmap_rwsem之间错误的锁序”，这精确对应ATM Scanner标记的SEAM-03核心冲突：”新folio路径假设folio_lock()是所有权的唯一仲裁者，旧page路径假设lock_page()以base page为粒度独立锁定”。

6.1 全部接缝的新颖性验证汇总

综合三次扫描的全部结果，我们对每个高危接缝进行了公开文献验证：

9个高危接缝中：4个为ATM原创发现且无对应CVE（S1、S2、S5、SEAM-04）；1个为ATM原创发现且被后续CVE精确验证（SEAM-03）；2个与已知研究方向吻合但视角新颖（S3、S4）；2个为已知漏洞根因的重新发现（SEAM-01、SEAM-02）。

07Sonnet 4 vs Opus 4.6对比分析

在TCP协议栈场景上，同一输入分别由Sonnet 4和Opus 4.6处理，形成了有意义的对照。

差距最显著的是定向扫描（Step 4）的深度。以S1接缝为例，Opus精确定位到tcp_validate_incoming()中if (tp->rx_opt.saw_tstamp &&这个短路求值——当saw_tstamp为零时，整个PAWS检查被跳过，系统静默退化到1974年的裸序列号校验。Sonnet的分析只到达了”PAWS可能失效”的概念层面，未触及具体的失效机制。

08生成规则汇总

三次测试共提取了14条生成规则——TCP协议栈6条（Opus 4.6）、splice()下游4条、VFS × MM 4条。这些规则的共同特征是：足够具体可以指导定向扫描，又足够抽象可以跨系统复用。以下列出跨扫描场景具有代表性的核心规则：

跨扫描场景的规则收敛性尤为值得注意：TCP-R4（双轨状态机回归）与VFS-R3（渐进迁移双轨窗口）是同一元模式的不同实例化；TCP-R2（补丁截断语义分歧）与VFS-R2（补丁创可贴重现）共享”修复引入新接缝”的核心结构。这种收敛表明漏洞的生成机制在不同代码库中具有结构性相似性——ATM论文的核心命题在此获得了经验性支持。

09ATM效率评估

Opus 4.6的输出给出了ATM方法论的定量效率评估：

10Copy Fail的ATM回溯验证

作为额外的验证步骤，我们用ATM五步法对CVE-2026-31431（Copy Fail）进行了事后回溯分析，以检验ATM框架是否能”从Dirty Pipe推导出Copy Fail”。

9.1 从Dirty Pipe提取的生成规则

Dirty Pipe（CVE-2022-0847）在2022年已证明splice()的零拷贝假设是脆弱的。如果当时有人提取生成规则——“splice()的零拷贝页面引用在哪些路径上被假设为只读？”——然后扫描splice()的所有下游消费者，Copy Fail的栖息地在2022年就可被定位。

9.2 与实际发现过程的结构同构

Xint官方博客披露的发现过程与ATM方法论完全同构：

这不是事后拟合——Xint团队的工作流程精确对应ATM的Step 3（人类标记接缝）→ Step 4（AI定向扫描）。Copy Fail的发现是ATM方法论的一次”无意识的实践验证”。

11单次扫描错误率分析

ATM Scanner的底层是具有约5%采样变量的大语言模型（LLM），单次扫描产生错误是必然且正常的。一个声称零错误的AI扫描工具反而是不可信的。如实报告错误率是评估方法论有效性的关键数据。

11.1 已确认的错误

11.2 错误率统计

11.3 错误的性质与应对

上述错误揭示了一个重要的能力分层：ATM Scanner的方向性判断能力（”往哪里看”）显著优于精确事实推断能力（”具体是什么”）。这与ATM方法论的设计目标一致——ATM的价值在于缩小搜索空间，而非替代人工审计。方向对了，精度不足可以通过后续的定向人工审计补偿；方向错了，再精确也无用。

数值计算的内部矛盾（同一物理量在不同步骤中出现不同值）是LLM的已知弱项。应对策略有两条：一是重复扫描——对同一目标执行多次独立扫描，取交集作为高置信度结果，差异标记为需人工核实；二是数值校验管线——在Scanner中增加一个后处理步骤，对输出中的可计算物理量（如序列号回绕时间=2³²÷链路字节速率）进行自动校验。

11.4 LLM驱动安全扫描的固有风险：隐性错误问题

本次实验揭示了一个超越ATM方法论本身、关乎整个AI辅助安全扫描领域的根本性问题：LLM生成的错误是隐性的——它与正确输出在形式上完全不可区分。

人类安全研究员在对话中打出”单词扫描”（应为”单次扫描”）时，错误立刻可见——作者自己看到了，协作者也看到了，双方笑着纠正，继续工作。人类的typo有一个明确的物理事件（手指按错键），错误的生命周期从产生到被发现到被纠正，全程对所有参与者透明。这是显性错误。

但当Opus 4.6输出”40Gbps链路上序列号约14秒回绕”时——这个偏差了16倍的数值在生成的那一刻，没有任何信号告诉任何人它是错的。模型自身没有置信度标记，输出界面不会标红，不存在任何confidence score附在这句话旁边。它和同一段落中完全正确的句子看起来一模一样，使用相同的字体、相同的语气、相同的确定性口吻。错误真实发生在GPU的矩阵乘法中——某个attention head的权重分布让”14″比正确值”0.86″获得了更高的生成概率——但这个过程对外界完全不可观测。这是隐性错误。

11.5 对AI辅助安全扫描工具的架构启示

隐性错误问题对所有基于LLM API的安全扫描工具提出了一个根本性的架构要求：输出不能被当作结论，只能被当作候选。具体而言：

第一，人机协作不是可选项，而是必选项。ATM的正确架构是”人类定方向 → AI做搜索 → 人类做校验”的三段式工作流。中间段的AI输出必须经过人类的事实核查才能被采信。Copy Fail的实际发现过程也验证了这一点——Xint团队的工作流是”人类研究员提供方向 → AI定向扫描 → 人工确认结果”。

第二，重复扫描是对抗隐性错误的工程手段。LLM的采样变量（temperature）意味着同一输入的多次扫描会产生不同的输出。错误输出在多次扫描中不会稳定重现（因为它是概率采样的偶发产物），而正确的方向性判断会在多次扫描中收敛。通过取多次扫描的交集，可以系统性地过滤掉隐性错误——这类似于信号处理中的噪声平均。

第三，数值类输出必须有独立校验管线。对于可计算的物理量（序列号回绕时间、内存地址偏移量、版本号等），应在Scanner的后处理阶段引入独立的计算校验——不依赖LLM自身的推理，而是用确定性代码重新计算并与LLM输出对比。这可以将数值类隐性错误的检出率提升到接近100%。

第四，需要建立”AI扫描结果置信度分级”标准。当前ATM Scanner的输出中，方向性判断（接缝标记）、机制推断（攻击原语）、和精确事实（数值/版本号）具有不同的可靠性，但输出形式上没有区分。未来的工具应对每类输出附加不同的置信度标签，帮助人工审查者快速定位需要重点核实的内容。

12局限性与未来工作

12.1 局限性

前瞻性验证仍为部分性质。SEAM-03被CVE-2025-37868和CVE-2026-23097验证，证明ATM具有前瞻性预测能力。但这一验证目前仅覆盖1个接缝（9个高危接缝中的1个）。其余4个原创发现（S1、S2、S5、SEAM-04）仍处于”标记但未验证”状态，需要后续的实际漏洞利用验证或独立安全研究员的确认。

样本量有限。目前验证基于单一操作系统（Linux内核）的三个子系统。ATM的普适性主张需要在更多不相关的系统上测试——例如数据库引擎、浏览器渲染引擎、分布式共识协议。

Artifact沙箱限制。测试过程中，Step 5的安全分析内容触发了Claude.ai Artifact预览器的内容安全策略，导致结果在预览面板中被阻止。这不影响对话区的输出，但限制了ATM Scanner作为独立应用的使用体验。

12.2 未来工作

S1实测验证。TCP协议栈扫描中标记的S1（PAWS静默降级）是最具实测价值的接缝——在10GbE+测试环境上复现”时间戳被剥除后序列号校验在回绕场景下失效”，如果成功将构成ATM的第二个前瞻性预测验证。

ATM Scanner独立化。将Scanner从Artifact沙箱中独立出来，作为CLI工具或独立Web应用发布，消除内容过滤限制。

规则库持续积累。每次成功的接缝扫描都应将新发现的生成规则入库，形成可检索的”漏洞基因库”。目前14条规则只是起点——随着更多系统被扫描，规则库的跨系统预测能力应当持续增强。

跨生态盲测。选择一个ATM Scanner从未接触过的开源项目（如PostgreSQL或Chromium的某个子模块），做完整的五步扫描，并由独立安全研究员验证结果。

13结论

ATM方法论从论文走向了代码，从代码走向了实测，从实测走向了前瞻性预测的验证。三次测试均产出了有意义的结果，核心发现可以归结为四点：

第一，ATM Scanner具有前瞻性预测能力。VFS × MM扫描中标记的SEAM-03（folio双轨并存接缝，9/10）在事后检索中被CVE-2025-37868和CVE-2026-23097精确命中。Scanner在完全不知道这些CVE存在的情况下，纯靠溯因推理预测了它们的栖息地。这是ATM方法论从”事后解释”升级为”事前预测”的关键证据。

第二，ATM Scanner不是玩具。三次扫描共标记了9个高危接缝，其中4个为原创发现且无对应CVE（S1、S2、S5、SEAM-04），1个被真实CVE精确验证（SEAM-03），2个与已知研究方向独立吻合（S3、S4），2个为已知漏洞根因的重新发现（SEAM-01、SEAM-02）。

第三，生成规则具有跨系统收敛性。三次扫描共产出14条生成规则，不同子系统的规则呈现出清晰的收敛——TCP的R4（双轨状态机回归）与VFS/MM的R3（渐进迁移双轨窗口）是同一元模式的不同实例化，表明漏洞的生成机制在不同代码库中具有结构性相似性。

第四，ATM的效果与模型推理能力正相关。Opus 4.6产出的生成规则数量是Sonnet 4的两倍，且独有的R6（链式激活）揭示了单接缝分析的结构性盲区。方法论的天花板由模型能力决定，而非由方法论自身决定——这意味着ATM的产出质量将随基础模型的持续提升而同步增长。

第五，LLM驱动的安全扫描自带不可消除的隐性错误风险。本次实验记录了~6%的机制误归因率和~10%的数值偏差率，且这些错误与正确输出在形式上完全不可区分——模型自身无法自检，输出界面无法标红，监控系统无法捕获。这是所有基于LLM API的安全扫描工具的固有风险特征，决定了ATM必须是”人机协作”架构而非”AI自主运行”架构。AI安全扫描的正确定位是效率放大器，而非判断替代器。

14参考文献

ATM架构Demo测试 · V2

이조글로벌인공지능연구소 · LEECHO Global AI Research Lab

& Opus 4.6 · Anthropic


2026年5月1日