KCon 2026 议题前瞻（一）：当"AI 智能体"成为主角，这届大会藏了多少硬货？

KCon，作为中国影响力领先的技术会议之一，十四年间，从百人拓展到千人规模大会，KCon 见证无数白帽黑客的成长，也成为白帽群体绝佳的展示平台。十四年后的今天，KCon 首次作为人工智能+大会官方安全论坛登上行业舞台——2026 年 11 月 1 日，落子北京中关村国家自主创新示范区展示中心。

距离 KCon 2026 正式开幕还有一段时间，但投稿箱里的火药味已经藏不住了。

我们提前看完了这一批投稿，先说结论：这是一届“AI 攻防”浓度最高、也最“能上手”的 KCon。

这一批投稿里，超过六成的议题直接围绕 AI / Agent / 大模型展开。而且不是泛泛而谈“AI 很危险”，而是切得非常具体：多租户推理的攻击面、Agent 沙箱逃逸、决策模型投毒、LLM 引导的协议状态机 Fuzzing、大模型服务供应链……几乎覆盖了 AI 从推理层、运行时、智能体编排到供应链的完整攻击面。

投稿名单里，既有 Black Hat USA / Europe、Black Hat Asia、ACM CCS 的常客，也有多个知名开源安全项目的作者，还有来自一线大厂安全团队、头部安全厂商和重点高校的研究力量。工业界实战经验 + 学术前沿研究同时在场，这在 KCon 历史上并不多见。

从评审反馈看，高分议题有一个共同特征：有真实环境验证、有可复现的 Demo、有可下载的工具或数据。 无论是挖到真手机的 Root 漏洞、实测上百个 AI 服务站点，还是把 Agent 跑进操作系统级的隔离环境，这一届的讲者普遍拿出了“我跑通了”的证据，而不是停留在 PPT 层面的推演。

一句话看点

当 AI Agent 不再只是“聊天框”，而是能启动进程、调用工具、读写本地资源的可执行代码时，模型层面的安全控制已经彻底不够用了——你必须把它当成一个“不可信的进程”来隔离。

只剧透一个点

这个议题没有停留在“给 Agent 加个沙箱”的老套路上，而是把隔离一路做到了 Windows 的图形交互层——让 Agent 跑在一块专属的、受加固保护的 Windows 桌面上。

一句话看点

一个标题党到让人想举报、内容却扎实到让人想转发的研究——把上百个第三方 AI 服务站点当成黑盒，一个个测过去。

只剧透一个点

研究团队的核心方法论只有一句话——模型骗得了 model 字段，骗不了自己的行为。

所以他们没有去信站点“自报家门”的模型名称，而是反过来观察模型的行为指纹：随机偏好、Tokenizer 特征、Token 统计、原生能力、多后端路由……再用多个独立检测器交叉验证。结果相当刺激：大量站点被怀疑“偷换模型”，还有相当一部分存在隐藏指令注入、上下文被悄悄压缩截断、以及明显的延迟异常。

一句话看点

后 Agent 时代，反编译器的设计哲学该推倒重来了。

只剧透一个点

讲者提出了一个反直觉的方案——别做预处理，直接把 APK 当数据库查。

传统反编译引擎动辄十几分钟预处理、吃掉数 GB 内存，但 Agent 的需求其实极其简单：它只是想“像访问源码一样”访问伪代码。于是讲者采用极端的懒加载策略，把目标代码从几百 MB 的安装包里单独抽离、按需重建，把原本十几分钟的等待压到了毫秒级。

从操作系统内核隔离到手机 Root，从 AI 服务供应链到汽车协议——这届 KCon 想讲的事情很明确：

后续我们还会陆续放出更多议题的深度前瞻，敬请关注。

KCon 2026，招商与购票通道即将开启。 无论你是想在这个舞台上展示研究，还是想第一时间听到这些一线实战经验——现在就是最好的时机。