VCAO：基于博弈论的验证器中心化智能体编排系统，用于操作系统漏洞的战略发现

本文提出VCAO（Verifier-Centered Agentic Orchestration）框架，将操作系统漏洞发现建模为贝叶斯斯塔克尔伯格搜索博弈，通过大型推理模型编排器动态分配分析预算，结合静态分析、模糊测试和内存检测器等验证器，实现高效的自动化漏洞挖掘。该系统在Linux内核漏洞发现中表现优异，显著超越现有方法。

操作系统内核是计算系统基石，但代码规模庞大（如Linux内核超3000万行），漏洞发现难度大。传统方法（静态分析、模糊测试、符号执行）各有局限：静态分析误报高，模糊测试覆盖率有限，符号执行受路径爆炸限制。大语言模型兴起为漏洞发现带来新可能，但需智能编排异构工具协同作战，VCAO由此诞生。

VCAO将漏洞发现建模为重复贝叶斯斯塔克尔伯格搜索博弈：防御者（系统）分配预算，攻击者寻找遗漏漏洞，多轮更新贝叶斯信念调整策略。系统采用六层架构：表面映射层（代码结构分析）、内核内攻击图构建层（数据流/控制流依赖）、博弈论文件/函数排序层（核心决策，MILP求解最优分配）、并行执行器智能体层（管理验证工具实例）、级联验证层（交叉验证减少误报）、安全治理层（系统监控）。

实验在5个Linux内核子系统展开：1.历史CVE复现：重新发现847个已知CVE；2.实时发现：在最新内核快照找0-day漏洞。性能对比：单位预算内，比覆盖率引导模糊测试多2.7倍有效漏洞，比静态分析多1.9倍，比非博弈论多智能体流水线多1.4倍；误报率降低68%。

VCAO成功关键：1.动态适应性：根据实时结果调整策略；2.异构工具协同：优化工具组合互补；3.战略优先级：通过攻击图和贝叶斯信念聚焦高风险组件，资源用在刀刃上。

研究团队开源仿真框架、合成攻击图生成器和评估工具链，便于复现、扩展和标准化评估。局限：当前针对Linux内核，攻击图依赖静态分析，博弈参数需校准。未来方向：扩展到用户态应用，引入更多验证工具，探索多VCAO实例协作。

VCAO结合博弈论、贝叶斯推理和大语言模型，构建智能自适应漏洞发现系统。在网络安全威胁严峻的今天，此类自动化工具能帮助安全团队快速定位风险，先行修复漏洞。AI将在软件安全领域发挥更重要作用。