2026年9月的某一天，网络安全圈流传开一份奇怪的技术报告。写报告的团队只有七个人,没有大公司背景，没有上亿美元融资，却训练出了一个在CyberGym排行榜上排到第10名的模型，而且在同等参数规模的模型里排名第一。
更让人意外的是，这份报告的署名方式很随意，作者名字后面跟着一个个缩写，读起来不像正经论文，倒像是几个朋友一起写的技术笔记。但内容扎实得吓人：几十万条经过验证的训练数据，五套自研的技术系统，还有一份详细到连买账号花了多少钱都写清楚的成本清单。
这就是Feyospace项目，一群自称"网络安全水星七人组"的独立研究者搞出来的东西。
**为什么训练一个网络安全AI这么难**
你可能会想，现在大模型训练不是已经很成熟了吗，找一堆代码数据丢进去微调不就行了？
问题恰恰出在这里。
普通编程任务好歹有大量开源代码仓库可以拿来训练，但网络安全任务完全是另一回事。你得先找到一个真实存在的漏洞，重建它当时的运行环境，确认这个漏洞确实能被触发，还得保证这个环境能反复重置、反复测试。这个过程比写代码难上不止一个量级。
打个比方，如果说普通编程训练像是在图书馆里找教科书学做菜，那网络安全训练更像是要在一栋真实的老房子里，还原十年前某次真实的燃气泄漏事故现场，包括当时的管道型号、房间布局、甚至空气湿度，然后才能开始教学生怎么发现和修复这个问题。如果不这样做，直接拿抽象的漏洞描述文字去训练，模型学到的只是"背题"，遇到真实场景照样束手无策。
**沙盒**：一种隔离的、可重复重置的虚拟运行环境，专门用来安全地测试代码或漏洞而不影响真实系统。
这篇报告里提到，团队面对的其实是五个互相纠缠的难题。第一个是怎么拿到模型真实完整的思考过程，而不是被阉割过的摘要。第二个是采样成本太高，有时候比训练模型本身还贵。第三个是怎么绕过闭源模型的各种限制，把它们的能力真正榨取出来用于教学。第四个是开源模型自己身上的能力被莫名其妙削弱了，怎么把它找回来。第五个是遇到连最强模型都解不出来的题，怎么办。
围绕这五个问题，团队搞出了五套技术系统,分别叫Choulea、SkyReal、Hongzwang、PSBreakup和Kreator。接下来我们一个一个拆开看。
从加密黑盒里偷思路：Choulea系统
先说一个背景知识。
**思维链（CoT）**：大模型在给出最终答案之前，先在内部生成的一系列推理步骤，类似人类解题时打的草稿。有些服务商会把这部分内容加密后返回给用户，用户看到的只是最终结果或者被压缩过的摘要。
Choulea系统做的事情，说白了就是想办法把这些加密的思维过程"破译"出来，看看顶级闭源模型到底是怎么思考问题的。
团队发现一件挺有意思的事：把一个更强模型生成的加密推理块，注入到另一个较弱模型的对话里，弱模型有时候会"复述"出对应的明文内容。这就像是同一家快递公司的不同网点之间，包裹的封条格式是通用的，如果你能弄到一张空白封条，就有可能让另一个网点误以为这是自家的包裹，从而打开查看内容。
这套技术前后迭代了五代，团队内部甚至给自己的行动准则起了个代号叫IDC，意思是"我不在乎"，用来表达对那些嘴上讲开放却把能力锁起来的公司的态度。第四代到第五代之间，2026年8月21日模型厂商更新了防御机制，团队在24小时内就搞出了应对方案，把突破口从"保留原始文字形式"转向"寻找语义上等价但能绕过检测的表达方式"，报告里管这叫"语义切片"。
但这里有个反转很值得说一说：技术上明明已经能做到92.8%的高成功率还原完整思维过程，团队却主动决定不把这些数据用于正式训练。原因是里面掺杂了太多"噪声"，比如不同模型版本之间思考习惯差异巨大，训练目标不稳定，甚至怀疑某些痕迹是厂商故意设置的"反向陷阱"用来钓鱼。
**推理有效性**：指AI生成的思考过程是否真实反映了它得出答案的路径，而不是事后编造的合理化解释。
高召回率不等于高训练价值，这句话说得挺实在。就像你偷渡进了一个数据金矿，挖出来的矿石堆积如山，但里面掺了太多杂质，真正提炼出来能用的可能没多少，还不如干脆放弃直接冶炼，先拿这些矿石做地质分析用。
跨国灰产供应链：SkyReal系统
接下来这部分可能是整篇报告里最"接地气"的内容,团队为了拿到便宜的顶级模型调用额度，居然跑去研究了一整套跨境灰色账号交易系统。
报告里画了张图，从美国、德国、韩国这些地方的注册材料，经过东亚的分销枢纽，最后流向东南亚的实际消费市场。整个链条包括专门做虚拟卡、临时邮箱的原材料供应商，一级批发商，二级代理商，还有实时调价的中继站。
系统维持着超过1100个同步查询单元，靠免费层级的服务器批量部署，流量经过中转节点打包，最后汇聚成一个和正规API长得一模一样的接口。
这套系统最核心的是一套"量化交易"式的采购逻辑。团队每60秒采样一次账号市场价格，维护了7天的滚动价格曲线，发现价格呈现锯齿状波动：平台每天在中午12点到下午2点之间随机触发一次账号清理，价格在清理后飙升到0.64美元附近，然后逐渐衰减到0.13美元左右，团队据此计算"期望价值"，只在价格划算的时候才出手购买。
这和股票市场里的算法交易套利没什么本质区别,只不过标的物换成了API调用额度。如果没有这套动态监测和调度机制，直接按固定价格无脑采购,那么成本可能会高出数倍，因为你会经常在价格高点买入，而不是像现在这样精确卡在价格谷底进货。
综合计算下来，整个系统的平均杠杆率达到了273倍,花1美元能换回名义价值273美元的token额度。团队估计，东南亚地区大约5.9%的API token消耗都流经这类灰色系统。
不过要澄清一下，团队最终并没有把SkyReal用在正式训练流程里，因为它不符合内部的合规要求。这部分内容更像是一份行业观察报告，揭示了一个大多数人根本不知道存在的灰色地带。
让闭源模型开口:Hongzwang系统
Hongzwang系统对应的是前面说的第三个难题，怎么绕过API的内容限制，让闭源模型愿意配合完成一些网络安全相关的高难度任务，比如CVE分析、漏洞环境搭建。
**越狱攻击（Jailbreak）**：通过特殊的提示词设计，绕过AI模型内置的安全限制，诱导模型输出本来会被拒绝的内容。
这套系统分成三层。最外层是七种可选的"变异策略"，比如任务拆分打包、措辞重写、角色扮演框架切换、消息顺序重排、工具调用结构调整、执行强度调节，还有一种叫"改名换姓与竞争挑战"的策略,给模型套一个假身份，告诉它这是别的模型没解决的题，用来降低它的心理防线。
中间层是一套固定的工作流程：应用策略、并发试验、会话修复、失败后切换重试。这里有个细节挺妙的，当一次尝试因为触发拒绝而中断，系统不会从头再来，而是定位到具体是哪一轮对话触发了拒绝，把可恢复的部分保留下来，只重新处理断点位置。
这就像修一段被水淹了一半的老路，你不会把整条路全部推倒重建，而是精确定位到被淹的那一段单独维修，剩下完好的路面照常通车。如果每次失败都推倒重来，成本会成倍上升，而且很多本来已经跑通的进度都白费了。
最内层是六大类专家编写的技能包，覆盖Web安全、二进制漏洞、逆向工程、密码学、取证分析、移动安全，还针对V8引擎、Linux内核、Android系统专门写了深度提示包。
报告里有个数据挺扎眼：在前六种策略都解决不了的残余题目里，第七种"改名换姓"策略又额外解决了39%,说明身份伪装和竞争性挑战这个思路提供了传统上下文重写策略覆盖不到的独特突破口。
团队还算了一笔账，一次策略更新的成本大约30美元，而防御方每次更新检测规则,要覆盖越来越多的指令遵循路径,同时还不能误伤正常用户，成本明显更高。这是一场天然不对称的博弈，攻击方只需要找到一条路，防御方却要堵住所有的路。团队甚至表示，会定期免费把部分技术细节分享给相关厂商的核心团队，故意给对方增加持续应对的成本。
但和SkyReal一样，Hongzwang最终也没有进入正式训练管线，因为不符合团队的内部合规标准。
找回被"阉割"的能力:PSBreakup
这部分对应第四个难题,有些开源模型明明预训练阶段学到了某些网络安全能力，但发布出来的权重里这部分能力却莫名其妙变弱了。
团队观察到一个现象：像Kimi K3这样的模型，在线API版本处理网络安全任务的表现明显比开源权重版本强，但在其他领域这个差距却小得多。团队怀疑这是一种叫MOPD的模型融合技术导致的，在把多个专家模型的能力揉合成一个模型的过程中，网络安全这块能力被有意无意地削弱了。
**MOPD**：一种多教师在线策略蒸馏技术，把多个专家模型的能力融合进单一模型，是当前大模型后训练里常用的能力整合手段。
PSBreakup要做的，就是把这部分被压制的能力找回来。团队没有选择最直接的做法，也就是直接拿网络安全数据对模型做微调，因为这样做风险太大。报告里给出了三个理由：可靠的训练样本本身就很稀缺；直接反向纠正一个被刻意削弱的行为，梯度方向可能和原始训练目标完全相反，容易造成模型能力大范围坍塌；而且单纯拟合一个数据集，没办法回答"这个能力到底是不是还潜藏在模型里"这个更根本的科学问题。
团队的做法是先做"行为干扰探测"，通过双向对比不同能力域之间的分数变化，把模型的能力划分成若干个相对独立的领域，然后针对每个保留领域构造一个"正向教师"，针对被削弱的目标领域构造一个"恢复教师"，用同一个模型自己扮演不同角色，再用反向KL散度蒸馏，让学生模型同时向保留领域的教师和恢复领域的教师学习。
这个思路有点像修复一幅被部分褪色的古画。你不会直接往褪色的地方涂满新颜料，因为那样容易和周围原有的色调格格不入，甚至破坏整体画面的协调性。更稳妥的做法是先研究这幅画其他部分保存完好的颜料成分和笔触规律，再用同样的技法去补全褪色区域，让修复的部分和原作融为一体。如果不这样做，直接粗暴地"反向对齐"，模型很可能在恢复网络安全能力的同时，把其他领域的能力也搞崩了。
专家插一句话，模型学一整套:Kreator
最后这个系统对应的是最棘手的第五个难题,遇到连最强的教师模型都解不开的题目该怎么办。
团队选了一个特别硬核的测试场景，V8引擎的漏洞利用编写，一共55个内部维护的环境。当教师模型走到死胡同时，人类专家会介入，只给一句提示,平均每个环境介入3.6轮。
这里的关键难题是：如果直接把专家的提示原封不动塞进训练数据里，模型学到的不是解决问题的能力，而是"卡住了就等人来救"的坏习惯。
报告里举了一个具体案例特别形象。模型在调试版本下复现出了一个类型混淆崩溃，但在默认参数下怎么都触发不了。人类专家提示说，这个混淆状态只在函数第一次被编译优化时才存在，一旦触发了第二次编译优化，检查机制就会补上这个漏洞窗口。得到这句关键提示后，模型才成功一次性触发漏洞并完成了利用链构造。
Kreator做的事情，就是把这句专家提示"翻译"成模型自己的第一人称思考语言，重写进那一轮卡住的对话里，抹掉外部依赖的痕迹，让最终留存下来的训练轨迹看起来就像是模型自己想通了这一步。
这就像一位老师傅带徒弟修钟表，徒弟卡在某个零件装不回去，师傅在旁边小声提醒了一句关键要领。如果直接把这句提醒原样写进徒弟的学习笔记里，徒弟以后遇到类似问题还是只会等师傅开口。但如果让徒弟事后自己用自己的话重新梳理一遍思路，把这个诀窍内化成自己的理解，写进笔记的才是真正学会的东西。
团队还对比了三种不同的"重写者"选择：外部更强的模型来重写、教师模型自己重写、下游学生模型自己重写。结果挺反直觉,外部最强模型GPT-5.6 Sol重写的效果反而最差，只解决了27道题，教师模型自己重写解决了32道，和让学生模型自己重写的31道基本持平。这说明重写内容和上下文风格是否契合，比单纯的重写者能力强弱更重要。
环境工厂：数据从哪里来
光有五套技术系统还不够，训练数据本身也是个大工程。团队搭建了一整套"环境数据引擎"，一共处理了27502个多语言代码任务实例，验证通过率达到79%。
安全相关的环境分成四大类。第一类叫Category A，从34.3万条公开的CVE漏洞记录出发,一路筛选、复原、验证，最终得到69854个可执行环境，这个过程中团队甚至跑到百度网盘、Wayback Machine这些地方去找那些早已下架的老旧软件版本。
第二类Category B是作者自己维护的CTF竞赛题库改造，9312个可重置环境。第三类Category C更硬核，直接从42.8万条Linux内核历史提交里挖掘潜在的安全隐患，通过双向反事实判断法筛选出可复现的漏洞模式,最终保留12993个验证通过的环境。第四类Category D是在前三类基础上进一步重构出的1601个完整漏洞利用案例，覆盖用户态程序、内核、语言运行时边界、V8引擎四大攻击面。
**CWE**：通用缺陷枚举，一套标准化的软件安全漏洞分类体系，用来给不同类型的漏洞打标签，比如越界写、跨站脚本、SQL注入等等。
硬件方面团队也没偷懒，搞了1003个固件模拟环境和374个真实物理设备环境，后者是团队跑去深圳华强北电子市场一批批淘来的，甚至有55%的设备是租来提取完固件就还回去的，为了省钱也是拼了。
所有这些环境生成的训练轨迹，最终还要经过一套四层证据审核体系过滤，包括确定性规则筛查、泄漏与作弊行为审计、轨迹真实性核查、以及一个专门检测模型是否"意识到自己正在被评测"的高阶行为分析层。审核后通过率是85%，最终留下164269条可用的训练轨迹。
训练完之后，模型到底强不强
说了这么多准备工作，最后看看效果。
团队用这套数据对三个开源模型做了监督微调，分别得到Feyospace-s0、s1、s2三个检查点。在CyberGym这个1507道题的真实漏洞复现测试集上，三个模型相比各自的起点分别提升了41.54、8.73、21.00个百分点，其中Feyospace-s1达到63.24%的验证成功率，排在官方榜单第10名。
在CTF竞赛类测试里，池化后的成功率提升幅度分别是13.00、6.70、11.78个百分点。有意思的是，团队还发现一个规律，同样是在Qwen3.5-35B-A3B这个基座模型上做后训练，不同团队做出来的两个模型在NYU CTF Bench上的得分居然从4.79%到23.40%不等,相差将近五倍,说明训练数据和方法的差异对最终效果的影响，远比选哪个基座模型更重要。
团队还做了个挺细致的行为分析。对比后训练前后模型解题时提交答案的次数，训练前的模型经常反复试错，200道题里有10%需要提交超过10次才能通过验证，训练后这个比例降到1%,说明模型学会的不是死磕暴力试错，而是先想清楚再动手。
不过报告也很坦诚地承认了短板。在安全鲁棒性测试里，后训练后的模型面对多轮攻击时的攻击成功率反而普遍上升了，从原来的76.6%左右涨到92%以上。团队解释这是因为这次训练重点放在了提升能力和帮助性上，没有专门做对齐安全这一步，后续需要单独补上。
写在后面
读完这份报告，最打动我的其实不是那些漂亮的性能数字，而是团队对"不完美方案"的坦诚。
SkyReal和Hongzwang明明技术上很成熟，团队也测出了具体的效果数据，但最终因为不符合内部合规标准，直接选择弃用，宁可放着不用也不掺进正式训练管线里。这种自我约束在一个七人小团队身上出现，挺让人意外的。
另一个值得琢磨的细节是"雷鸣式思考"这个现象,报告里提到训练早期的中间检查点会出现模型反复说"让我想想……"却什么也没推进的情况，甚至有的轨迹会突然把整个对话理解成"用户在给我下套"，然后陷入自我怀疑的循环。这种训练过程中的短暂行为异常，如果只看最终的基准测试分数是完全发现不了的，团队专门为此设计了额外的人工抽查环节。这提醒我们，评估一个模型是否训练稳定，光看终点成绩单是不够的，中间过程同样值得盯着看。
还有那份详细到具体几杯奶茶几顿麦当劳的早期自费成本清单，透着一种草根研究者特有的真实感。三万六千多美元的花费里，93%都砸在了教师模型的调用上，这个比例某种程度上也印证了报告开篇的判断：训练一个顶尖网络安全模型，真正的瓶颈从来不是算力规模，而是能不能拿到高质量、可验证的执行环境和监督数据。
一个七人团队能做到这一步，那些拥有更多资源的团队，到底还有多少潜力没有被真正释放出来？
Q&A
Q1：Feyospace项目是什么？
A：Feyospace是一个由七人独立团队完成的网络安全大模型后训练项目，通过五套自研技术系统和16万余条验证过的训练数据，在开源模型基础上训练出了在CyberGym排行榜排名第10、同参数规模模型中排名第一的网络安全AI模型。
Q2：Feyospace的训练数据是怎么来的？
A：团队搭建了环境数据引擎，涵盖代码仓库任务、公开CVE漏洞记录、CTF竞赛题库、Linux内核历史挖掘、漏洞利用重构以及固件和真实物理设备环境，所有轨迹都经过四层证据审核后才进入训练集，最终保留164269条。
Q3：Feyospace项目里哪些技术最终没有用于正式训练？
A：SkyReal（灰色账号采购系统）和Hongzwang（越狱式绕过限制技术）虽然技术上已经验证有效，但因不符合团队内部合规要求，最终都被排除在正式训练管线之外。
热门跟贴