近期，2025中国能源网络与信息安全产业发展论坛在南京举行。论坛聚焦能源企业数字化转型、智能化、高质量发展，多位来自高校、机构和企业的专家学者分享了网络安全前沿技术研究成果和应用经验。蚂蚁集团安全平行切面架构师刘宇江出席论坛，并做“安全切面：构建可演进的关基免疫体系”主题演讲。

基于此次演讲内容，刘宇江为记者进一步解读了安全平行切面技术与应用，以下为具体内容：

解耦安全与业务，可持续演进的“免疫系统”

Q：什么是安全平行切面？能否用通俗的语言解释其核心理念？

A：安全平行切面的核心理念是——业务照常运行，安全能力从主系统中“解耦”出来，实现无感升级、敏捷响应、精准防护。打个比方：如果把传统的外围防御（如防火墙、WAF）比作“口罩”，它能挡住一些显性的威胁；那么安全平行切面更像是人体的“免疫系统”——内生于系统之中，在分子层面识别并清除异常，对新型病原体也能快速适应和应对。更重要的是，免疫系统从出生起就存在，并持续无感进化；而安全切面也是如此，它可以伴随信息系统一同成长，以极低的侵入成本实现持续的安全演进。这种“内生+动态”的设计理念，让我们不再依赖频繁修改代码或中断服务来提升安全性，真正实现了“防护不打扰业务，安全随业务进化”。

Q：这个概念是基于哪些现有技术或理论发展而来的？与传统安全架构有何本质区别？

A：安全平行切面的理念最初源于我们在实际攻防对抗中的深刻痛点。早期，每当发现一个安全漏洞，往往需要推动多个业务团队反复升级系统，不仅效率低，还容易引发稳定性问题，导致“安全拖累业务”的矛盾。后来我们受到软件工程中 AOP（面向切面编程） 的启发——即在不改动主流程的前提下，将横切关注点（如日志、权限）动态织入程序执行路径。我们将这一思想迁移到安全领域，提出“安全即切面”的构想。虽然此前也有类似技术应用于调试场景，但它们通常不考虑性能开销、稳定性要求和全覆盖能力。而安全不同：我们必须做到零遗漏、低延迟、高可靠。因此，我们最终决定自主研发一套专为安全设计的运行时防护体系。与传统防火墙、IDS、WAF等“外围式”方案相比，最大的本质区别在于：

· 感知粒度不同：传统方案多基于网络流量或协议特征，难以深入理解应用内部逻辑；

· 作用层级不同：安全平行切面直接作用于程序运行态的关键函数调用链，能够捕获到外部无法观测的行为细节；

· 响应机制不同：不是被动拦截，而是通过“可观测+可干预”的闭环机制，实现更精准的风险判定与主动防御。

换句话说，传统安全是“看表象”，而平行切面是“察本源”。

Q：安全平行切面相比传统的防火墙、WAF或零信任方案，有哪些独特的技术优势？

A：我们总结为三大核心优势：可扩展性、低耦合、高融合。

1. 可扩展性：让安全能力“活”起来

安全攻防是一场永不停歇的博弈。如果防护体系不能持续进化，就会被攻击者“锁死”。
安全平行切面采用模块化、插件化的架构设计，就像一个“安全操作系统”，支持各类检测引擎、策略模型、分析工具的热插拔接入。当出现新型攻击手法时，无需推倒重建，只需在切面层部署新的防护组件，即可快速验证并上线，全过程不影响主业务运行。这使得整个安全体系具备了自我生长与动态演进的能力。

2. 低耦合：实现“零打扰”部署

这里的“低耦合”指的是架构层面的松耦合。安全切面不需要系统提前改造、无需强制依赖特定框架或中间件，最快可在业务完全无感的情况下完成部署。这意味着即使是老旧系统、闭源系统或混合云环境，也能快速纳入保护范围。相比传统方案动辄数月的集成周期，我们的平均试点部署时间仅需一周，显著降低了落地门槛和总拥有成本。

3. 高融合：直达风险本源的精准防护

“高融合”是指切面与目标系统运行在同一程序空间内，能够获取最底层、最完整的运行时数据，比如关键函数的参数、调用栈、内存状态等。这些信息在外围设备上几乎不可见。正是这种深度融合，让我们可以构建细粒度的信任策略，实现对0day漏洞的有效预防——哪怕攻击利用的是未知漏洞，只要最终要执行恶意操作，就一定会经过某些不可绕过的系统函数（如命令执行、文件写入），我们就在这些“必经之路”上设防。这也引出了我们的一个重要理念：NbSP（Non-bypassable Security Paradigm）——不可逾越的安全范式。在一个健全的安全体系中，必须确保所有高危行为都经过受控的访问控制点，绝不允许被绕过。

Q：能否举例说明它在检测未知威胁（如0day攻击）方面的表现？

A：曾在一次真实攻防演练中，攻击者利用了一个尚未公开的中间件漏洞发起远程命令执行探测。由于该漏洞未被任何规则库收录，WAF、EDR等传统防护全部失效。但在我们的切面系统中，由于已对exec()类系统调用函数设置了运行时监控策略，无论攻击路径如何隐蔽，只要触发了命令执行行为，系统立即捕获其参数内容，并识别出其中包含反向Shell指令。随即自动阻断请求，并生成告警。更进一步地，我们在多个核心业务系统中实施了“关键函数可信策略”——即在系统调用、文件读写、网络通信等高危路径上，只允许预定义的合法参数模式通过，其余一律拦截。这套策略会随着业务迭代同步更新，形成一个持续进化的“白名单”防护网。这种方式让我们在多个0day事件中实现了“未知漏洞，已知路径，提前防御”的效果。正因为我们守住了安全的“最后一公里”，才能真正做到预防未知漏洞。

多领域规模化落地，实现“零打扰”式防护升级

Q：目前哪些行业或企业已经在应用安全平行切面技术？取得了怎样的成效？

A：目前安全平行切面技术已在金融、能源、政务等对安全性要求极高的关键基础设施领域实现规模化落地。

例如：在一次官方组织的红蓝对抗演练中，通过切面系统帮助用户成功捕获了一条隐藏极深的基于已有系统0day的木马植入案例，及时阻止了潜在的数据泄露。还有一个用户在POC测试阶段就发现了多个长期未被察觉的高危配置漏洞，并通过切面实现了实时防护。在电力行业，《电力监控系统安全防护规定》（27号令）对威胁感知与响应能力提出了更高要求，电力作为国家关键基础设施，一旦发生业务中断、数据篡改或远程控制，是可能直接影响民生甚至国家安全的事件。因此，这类系统对“零停机、高可用、强防护”的需求极为迫切，而安全平行切面恰好提供了理想的解决方案。所以最近也能明显感受到电力等行业相关需求正在比较快得增长，目前我们已经与一些电力公司合作并有了落地案例，效果也不错。

Q：从客户反馈来看，他们最看重这一技术的哪一点？是部署便捷性、成本效益还是防护能力？

A：综合反馈来看，客户最看重的是：在大幅提升防护能力的同时，完全不影响业务稳定性和可用性。

特别是对于那些不能停机、不敢动架构的核心系统，这种“零打扰”的升级方式极具吸引力。其次，部署效率高也是重要加分项——通常一周内即可完成试点部署，三个月内覆盖主要资产，相比传统安全项目动辄半年以上的改造周期，大幅缩短了价值兑现时间。由于减少了对原有系统的改造成本和后期运维负担，总体拥有成本具有优势，尤其适合大规模复杂系统的长期安全管理。

Q：如果有一家企业正在考虑升级其安全架构，您会建议他们从哪个环节开始尝试安全平行切面？

A：我建议优先选择三个“高价值、高风险、难改动”的典型场景切入：

1. 老旧但关键的业务系统：多年未更新但仍承载核心数据，无法轻易替换或重构；

2. 混合多云/跨平台环境：安全管理分散、策略不统一，缺乏全局视图；

3. API密集型微服务架构：调用链复杂，传统边界防护难以覆盖内部横向风险。

可以从其中一个典型系统做起小范围试点，验证防护效果与性能影响，再逐步推广至全量核心资产。这种“由点到面、稳中求进”的路径，既能控制风险，又能快速体现价值。

协同创新、丰富能力，构建下一代主动防御生态

Q：听说你们还组建了一个切面技术联盟，组建这个联盟的初衷是什么？

A：是的，我们联合多家网络安全厂商、积极拥抱创新的甲方企业以及科研院所，共同发起了“安全平行切面技术联盟”。

初衷有三点：

1. 推动标准化：制定统一的技术接口、数据格式、测评方法，避免碎片化发展；

2. 共建开放生态：鼓励开源探针、分析引擎、策略模板的共享，降低使用门槛；

3. 提升行业认知：让更多企业和监管机构了解这种新型内生安全范式的潜力与价值。

我们坚信，只有通过协同创新、生态共治，才能让这项技术走出实验室，走向更广泛的产业应用。

Q：这项技术是否具备标准化潜力？未来是否会推动行业标准的建立？

A：非常明确：我们已经在积极推进标准化进程。目前，《安全平行切面总体技术要求》已通过团体标准评审，正处于发布流程中；同时正在起草《应用程序运行态安全技术标准》，聚焦于关键函数监控、策略管理、风险评估等核心技术环节。下一步，我们也计划向全国信安标委（TC260）及国际标准组织提交立项建议，力争在未来三年内推动形成国家级乃至国际级标准。

Q：未来3-5年，安全平行切面会如何演进？

A：我们将围绕三个方向持续深化：

1. 智能化演进

深度融合大模型与AI推理能力，让切面不仅能“看见”异常，还能“理解”攻击意图。例如自动生成攻击链推演、提出加固建议、评估影响范围，甚至模拟攻防对抗过程。这也是我们正在推进的“切面融合智能”项目的核心目标。

2. 覆盖能力拓展

当前对C/C++等编译型语言、以及医疗、工业等领域存在的几十年“高龄”系统，仍需突破兼容性难题。未来将重点攻关跨语言、跨平台的通用接入能力。

3. 生态场景丰富化

基于这一基础框架，已衍生出多个垂直安全场景，包括：

· 漏洞运行时防护

· 数据流转追踪与防泄漏

· 合规自动化审计

· 软件供应链安全验证

· AI模型调用安全管控

· 凭据保护与认证增强

这些能力正在通过联盟成员协作不断丰富。我们的愿景是：以安全平行切面为底座，构建一个可生长、可组合、可持续进化的下一代主动防御生态。