50万+漏洞数据背后，墨菲安全想解决国产大模型的一个关键问题

关注

写在前面

随着安全大模型、代码大模型和安全智能体的发展，模型是否具备真正可用的网络安全能力，正在成为一个越来越具体的问题。

尤其当行业开始关注 Mythos 等国际前沿安全模型时，很多国产大模型厂商也开始重新审视：如果模型要在网络安全领域具备专业能力，它到底应该学什么？

漏洞公告、CVE 编号、安全问答、攻防知识以及代码样本，都是模型进入网络安全领域的重要材料。

但一个真正可用的安全模型，不能只知道概念，它还需要：

这也是国产大模型厂商在建设网络安全能力时绕不开的问题：缺少高质量、结构化、贴近真实安全场景的数据，模型很难从“会回答安全问题”，走向“会做安全判断”。

墨菲安全作为业界领先的漏洞数据服务商，漏洞库涵盖超过50万条高质量漏洞数据，并持续沉淀 PoC、触发函数、利用条件、修复方案、修复 commit、投毒样本等安全数据能力。

我们希望把这些长期沉淀积累的数据，转化为大模型可学习、可评测、可落地的安全能力。

过去，很多通用大模型已经具备一定安全知识。它们可以解释常见漏洞类型、总结安全公告、回答一些基础攻防问题。

但当模型进入更专业的网络安全任务后，差距会很快显现出来。比如：

这些能力很难从通用语料里自然长出来。

网络安全是一个强上下文、强实践、强细节的领域。模型要在这个领域真正可用，需要见过足够多高质量的漏洞样本，理解漏洞从描述、成因、触发、利用到修复的完整链路。

所以，对于正在建设安全能力的国产大模型厂商来说，安全数据的价值就在这里。它补充的不只是知识量，更是模型面向真实、专业安全任务的能力底座。

很多模型训练团队会从 CVE、NVD、CNVD、GitHub 安全公告等公开数据开始。这些数据非常重要，是漏洞知识体系的基础。

但公开漏洞库通常更适合人去检索和阅读，并不是为模型训练准备的完整数据集。

一条漏洞记录往往会提供编号、描述、评分、影响范围和参考链接。

对于安全专家来说，这些信息足以作为入口，进而继续去查公告、看代码、找 PoC、读修复 commit，再结合经验判断漏洞是否可达、是否可利用、应该怎么修。

而模型训练是需要把这部分“专家会继续做的事”显性化，转化成可以学习、可以评测、可以复用的数据。

比如：

这些信息，才是模型从“背安全知识”走向“做安全判断”的关键。

如果缺少这类细粒度上下文，模型可能知道 Log4j、Fastjson、Spring、Tomcat 等组件出现过漏洞，但很难真正理解漏洞在工程代码里如何触发、如何验证、如何修复。

墨菲安全长期深耕软件供应链安全、漏洞治理与投毒情报场景，沉淀了面向企业安全治理、自动化分析和模型训练的漏洞数据能力。

目前，墨菲安全漏洞库已覆盖超过 50 万条高质量漏洞数据，并保持持续增长。数据来源覆盖 NVD、CNVD 等官方漏洞库，GitHub 等第三方漏洞来源，也包括在野漏洞、软件供应链投毒情报，以及墨菲安全自研分析和挖掘沉淀的数据。

相比普通漏洞列表，墨菲安全面向大模型训练、模型评测和自动化安全分析场景，提供的是结构化、细粒度、持续维护的数据体系。

每条漏洞数据除了包含漏洞编号、标题、描述、影响组件、影响版本、漏洞等级、CVSS 评分、参考链接等基础信息。还进一步提供 40+ 结构化字段，覆盖漏洞理解、漏洞验证、漏洞触发、漏洞利用条件、修复建议和修复代码等关键环节。

这些字段的价值，在于把漏洞从一段“可阅读的信息”，变成模型可以学习的结构化样本。

模型看到的内容，不再停留在“某组件存在一个远程代码执行漏洞”这一层，它还可以进一步学习：

这类数据更接近安全专家分析漏洞时真正使用的上下文，也更适合模型学习漏洞分析过程中的判断链路。

对于国产大模型厂商来说，高质量漏洞数据可以服务于多类能力建设。它既能用于基础模型的安全能力增强，也能用于安全垂直模型、安全智能体和模型评测体系。