近日，雪磐安全实验室自主研发的 雪磐 AI 安全智能体在Windows图片解析链路中发现两项高危远程代码执行漏洞（漏洞编号 CVE-2026-44812、CVE-2026-44803，微软官方均评定为最高严重等级 Critical）。相关漏洞已按照负责任披露流程提交微软，并将已于 微软 2026 年 6 月补丁日（美国时间 6 月 9 日） 完成修复与公开致谢。

这意味着，由中国安全团队自主构建的 AI 漏洞挖掘智能体，已经从实验室验证走向全球主流软件厂商认可的实战发现。

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-44803

https://msrc.microsoft.com/update-guide/vulnerability/CVE-2026-44812

此次雪磐安全发现的两项漏洞均与 Windows 图片解析模块有关。攻击者可构造特制图片文件，当用户打开、运行关联程序处理、预览该图片，或由系统自动生成缩略图并触发解析时，可能造成内存破坏并引发远程代码执行风险。由于图片文件广泛存在于邮件附件、即时通讯、网页下载、文件共享、云盘同步、压缩包解压以及系统缩略图预览等日常场景中，此类漏洞一旦被攻击者武器化，将具备隐蔽性强、触达面广、低交互投递的特点，潜在影响全球海量 Windows 终端与企业办公环境。

一张看似普通的图片，也可能成为攻击入口。与传统可执行程序不同，图片文件天然具有更强的可信外观和流通属性，更容易穿过用户心理防线并进入真实办公链路。Windows 图片解析链路作为全球终端生态中的基础组件，长期是高级攻击者关注的核心攻击面。此次两项高危漏洞的发现，进一步说明底层解析组件仍然是现代终端安全中不可忽视的风险入口。

不是单点发现，而是跨场景高危漏洞发现能力

更值得关注的是，这并非一次偶然发现。自雪磐 AI 安全智能体上线以来，短短 两个月内已发现数十个覆盖热门场景的高危安全漏洞，范围覆盖 Windows 操作系统内核、主流大模型引擎、SQLite 开源数据库、音视频媒体解析模块、Web3 知名项目方智能合约 等多个方向。相关漏洞均已按照负责任披露流程反馈至产品或项目方，并同步提交至 国家网络空间安全云社区（nccsec.cn）、国家信息安全漏洞共享平台 CNVD 等平台。

从操作系统内核到大模型基础设施，从开源数据库到多媒体解析组件，再到 Web3 智能合约，雪磐 AI 安全智能体展现出的不是单一目标上的样本撞击能力，而是面向复杂攻击面的持续探索、异常定位和漏洞验证能力。这种跨技术栈、跨产品形态、跨安全场景的发现效率，正在改变传统漏洞研究对人工经验和长周期试错的依赖。

AI 智能体重塑漏洞挖掘范式

雪磐 AI 安全智能体是雪磐安全实验室面向下一代漏洞研究构建的自动化安全研究系统。围绕复杂文件格式、系统组件、开源基础设施、AI 基础软件和智能合约等攻击面，智能体可协助完成目标建模、样本生成、异常观测、崩溃归因、路径回溯与可利用性辅助判断，并与人工专家形成闭环验证。

过去，一个高价值漏洞往往需要研究人员长时间手工逆向、调试、构造样本和验证影响。AI 智能体的加入，使漏洞挖掘从“人围绕单一目标反复试错”，升级为“AI 持续探索攻击面，专家聚焦确认价值和风险边界”。此次获得微软官方致谢，是雪磐 AI 安全智能体在国际主流厂商安全响应流程中的一次重要验证。

建议企业尽快关注更新

雪磐安全实验室建议企业用户密切关注微软 2026 年 6 月安全更新，在补丁发布后尽快完成评估、测试和部署，尤其应重点关注 Windows 终端、邮件网关、文件服务器、云盘同步、办公网段以及涉及图片预览和文件处理的业务场景。

雪磐安全是一家聚焦 AI Agent 行动安全、底层漏洞挖掘与数字资产防护的创新安全公司，正在构建 SnowShield Stack™ 雪盾全栈产品体系。该体系由六个产品引擎组成：代码鹰眼 Snow Audit 面向 AI 语义代码审计与供应链漏洞分析，砺锋 SnowForge 面向动态 Fuzz 测试与 BAS 攻防验证，行御 AgentShield 面向行为序列建模与运行时控制，界幕 SnowVeil 面向数据防泄漏与输出边界控制，雪印 SnowMark 面向隐形水印、溯源与归因，链溯光 AddressPlus 面向地址风险画像与资金图谱追踪。未来，雪磐安全将继续推进 AI 安全智能体在漏洞挖掘、攻击面分析、漏洞验证和安全研究自动化方向的落地应用，持续发现影响全球软件生态的高危安全问题，为全球用户、企业终端和关键数字基础设施提供更前置的安全防护能力。

一审：石宇华

二审：张一山

三审：傅颖娟

出品：中国通讯社