AI 驱动复杂业务漏洞挖掘：从业务规则建模到攻击路径验证｜QCon上海

从「构建 AI」到「驾驭 AI」，100+ 实战案例拆解 AI Native 时代的工程新实践！

将于 10 月 22 日—24 日举办，聚焦 Harness AI 时代的工程实践，围绕 AI Native 架构、Agent Runtime、AI Infra、Data Systems、Agent 安全与可观测、Loop Engineering、Vibe Coding、具身智能与世界模型、端云协同等前沿技术方向，邀请全球技术社区与产业一线的实践者，系统性分享前沿洞察与实战经验，共同探索 AI 从能力到系统、从实验到生产的真实路径。

在这一背景下，2026 年 QCon 全球软件开发大会大会 · 上海站正式启动。本次大会将于 10 月 22 日—24 日举办，聚焦 Harness AI 时代的工程实践，围绕 AI Native 架构、Agent Runtime、AI Infra、Data Systems、Agent 安全与可观测、Loop Engineering、Vibe Coding、具身智能与世界模型、端云协同等前沿技术方向，邀请全球技术社区与产业一线的实践者，系统性分享前沿洞察与实战经验，共同探索 AI 从能力到系统、从实验到生产的真实路径。

字节跳动 & 安全攻防专家于思已确认出席 “AI 时代的攻防重构” 专题，并发表题为《AI 驱动复杂业务漏洞挖掘：从业务规则建模到攻击路径验证》的主题分享。在复杂业务系统中，真正高价值的漏洞往往不源于单个接口，而隐藏在业务规则、角色权限和状态流转的组合关系中。传统安全工具擅长识别已知缺陷，却难以理解业务语义，更难完成跨步骤的攻击推演。本次分享将介绍一种由大模型驱动的复杂业务漏洞挖掘思路：通过业务规则建模，让 AI 理解角色、对象、动作与约束；结合智能规划与动态验证，自动生成并评估潜在攻击路径。演讲将围绕方案设计、关键技术、实践挑战与经验思考展开，探讨大模型如何推动业务安全测试从规则匹配和单点检测，走向具备业务理解、路径推演和自主验证能力的新范式。

于思任字节跳动某国际业务业务攻防方向负责人，拥有近十年网络安全从业经验，曾任职于奇虎 360、阿里云。长期从事 Web 安全、API 安全与 AI for Security 等研究，开源了 crawlergo、WatchAD 等安全项目，曾在 Black Hat Arsenal、DEF CON BTV 和 KCon 会议上分享安全研究成果。他在本次会议的详细演讲内容如下：

实践中需要平衡三组 tradeoff：通用建模与场景精度、路径探索广度与执行成本、智能体自主性与安全可控性。此外，复杂业务通常包含异步状态、时序依赖和外部风控，缺少稳定的业务结果判定机制，容易将正常策略、环境异常或无效数据误判为漏洞。如何做好状态复位、对照验证与人工确认，是落地过程中无法绕开的问题。

面向漏洞挖掘的业务规则建模：不同于只对代码或接口进行语义检索，将业务角色、对象、动作、状态和约束组织成可推演模型，使大模型能够围绕业务规则和业务不变量发现异常组合

攻击路径生成与动态验证闭环：不止输出“可能存在风险”的分析结论，而是让大模型生成可执行的攻击路径，并根据工具执行和环境反馈持续调整，最终通过业务状态变化验证风险是否真实存在

了解大模型在业务安全场景中的真实局限、关键取舍和常见误区，避免方案停留在概念演示阶段

除此之外，本次大会还策划了Loop Engineering、千行百业 Agent 创新实践、Agent 自主进化：从记忆到持续学习、Agent as a Service、Vibe Coding 时代的新质量债、理性驾驭 AI 的 SRE 可靠性工程、金融 AI Native工程实践：从研发提效到业务破局、AI Infra：算力效率决定规模化落地、AI Native 架构等 20 个专题论坛，届时将有来自不同行业、不同领域、不同企业的 100+资深专家在现场带来前沿技术洞察和一线实践经验。