概述：2026年7月，新加坡南洋理工大学团队在USENIX Security 2026上发表论文（arXiv:2607.10315），用一个叫iFinder的大模型多智能体系统，对7套开源4G/5G核心网实现做了一次地毯式审计，挖出84个此前未知的漏洞，其中81个已拿到CVE编号。最狠的一个漏洞可以让UPF把你的上行流量改道到攻击者的服务器——而且攻击者可能就坐在一部手机后面。本文拆解这批漏洞的共同根因「隐式信任错误」、完整的会话劫持链条、AI挖洞的流水线，以及一线运维能落地的自查清单。
先看最扎心的那个漏洞。它不在空口，不在鉴权，而在核心网最不起眼的地方——SMF和UPF之间的N4接口，跑的是PFCP协议。
PFCP的逻辑很简单：SMF是司令部，UPF是前线的转发流水线。用户面怎么转发，靠的是SMF下发的一堆规则，其中最核心的两样：PDR（包检测规则，负责认出「这是谁的、什么业务的包」）和FAR（转发动作规则，负责决定「认出来之后往哪扔」）。每个PDR带一个Precedence优先级值，数字越小优先级越高。UPF处理报文时，按优先级从高到低逐条匹配，命中即走。
问题就出在这套机制「太讲道理」了。论文团队演示的劫持链条是这样的：
sequenceDiagram
participant A as 攻击者
participant U as 手机UE
participant S as SMF
participant P as UPF
A->>P: PFCP关联建立请求
U->>S: 发起入网请求
S->>P: 会话建立，下发PDR与FAR
A->>P: 会话修改，复用PDR并压低优先级
P->>P: 恶意规则按优先级排在最前
P->>A: 用户上行流量改道到攻击者
Note over P: 被劫持的只有这一个用户
三步走：攻击者先向UPF发一个PFCP关联建立请求，混成「自己人」；等受害者手机正常入网、SMF下发会话规则后，攻击者再发一条PFCP会话修改请求——复用受害者的PDR ID，但填一个更小（更优先）的Precedence值，并把它绑到指向自己的FAR上。UPF收到重复的PDR ID没有做唯一性校验，照单全收，按优先级排序后把恶意规则排在合法规则前面。于是这台用户的所有上行流量，先被送进攻击者的隧道，再由攻击者决定是转发出去、留下来看、改一改，还是直接扔掉。
论文作者之一Ziyu Lin在接受The Hacker News采访时说得很直白：即使流量本身加密，目的IP、时序、流量大小这些元数据照样暴露；如果攻击者把流量继续转发出去，未加密的DNS查询可以随意篡改；如果选择静默丢弃，就能对单个用户做定向断网——网元毫发无损，告警一条没有，只有那一个用户「网速突然没了」。
做过核心网的人看到这里都会背后一凉：这套攻击不炸机器、不影响别人、不留宕机日志，是运维最头疼的那种「无告警劣化」。而且它已经在两个商用5G核心网里被证实存在——厂商Dotouch的XproUPF已修复（CVE-2026-8233，CVSS 4.6），另一家论文里未点名的主流厂商仍在整改中。顺带说一句，CVSS给4.6分是因为前置条件苛刻，但就「单个用户流量被改道」这个后果而言，在金融支付、警务专网这些场景里，这个分数低估了实际风险——这是笔者的判断，不是论文原文。
84个漏洞，根因是同一个。论文给它起了个名字：隐式信任错误（Implicit Trust Errors，iTrue）。
这个「信任」是历史遗留的。2G/3G/4G时代，核心网是一堆专用机框，锁在机房里，网元之间走专线。MSC之间、SGSN与GGSN之间的信令能不能信？能信，因为电缆没出机房。整个电信核心网的安全模型，从一开始就建立在物理隔离这四个字上——接口在信任域内部，消息自然「来者是信」。协议设计时大量校验因此被省略了：消息格式大概看看就处理，语义不细究，资源占用不设防。GTP-C、PFCP这些协议，都是在这个「屋里都是自己人」的假设下长出来的。
问题是，5G把这个假设拆了。核心网云化之后，NF变成跑在虚拟机、容器里的软件，跟IT系统共享数据中心；UPF被推到边缘机房甚至企业园区；专网把「网络边界」切得七零八落；云平台的配置错误随时可能把内部接口暴露到不该暴露的地方。机房还是那个机房，但「屋里的都是自己人」这句话，从架构上已经不成立了。
这也不是什么新发现，而是一条拉了六年的时间线：
| 时间 | 事件 |
|---|---|
| 2020年12月 | Positive Technologies发布5G SA核心网安全评估报告：HTTP/2（SBA接口）与PFCP的漏洞可被用于窃取用户签约档案、发起仿冒攻击、伪造用户鉴权 |
| 2021年 | NCC Group用自研工具Fuzzowski对Open5GS做模糊测试，挖出PFCP漏洞CVE-2021-41794并演示利用过程 |
| 2022年 | 学术团队在EURASIP期刊发表论文，实测针对5G核心网PFCP的多种DoS攻击 |
| 2023年 | 5G核心网PFCP入侵检测数据集登上IEEE，研究界开始补检测侧的课 |
| 2026年7月 | 南洋理工大学iFinder论文：7套实现、84个漏洞、81个CVE，成果发表于USENIX Security 2026 |
六年里，协议没变，假设没变，变的是部署形态。2020年Positive Technologies指出SBA的HTTP/2和PFCP有问题时，SA组网刚起步；2026年南洋理工团队把同样的部位翻了个底朝天，发现的问题不但还在，而且5G实现里的部分缺陷是从4G实现原样继承过来的——安全风险会跨代跳，老代码搬进新架构，没人重新审过它的前提条件。
还有一个更让老运维别扭的细节：运营商在跨网边界上其实早有防备。漫游接口有SEPP和N32加密，GTP防火墙在互联点做了白名单——这些都是2G/3G时代吃过亏换来的家底。但这次论文里的攻击，要求的恰恰是域内可达：要么从云化配置的裂缝里伸手进内部接口，要么干脆从手机上行的GTP-U里把伪造的PFCP报文「走私」进去。边界修得再厚，屋里没锁。
84个漏洞，靠的不是几百个安全工程师人肉审代码，而是一套大模型驱动的多智能体流水线。这也是这篇论文在方法论上最大的看点——它是AI第一次在电信核心网这个专业领域，规模化产出「拿到CVE编号」级别的成果。
流水线分五步：
flowchart TD
A["核心网源码与3GPP规程"] --> B["归纳已知缺陷成模式"]
B --> C["扫描候选隐式信任错误"]
C --> D["代码规范交叉核对"]
D --> E["自动生成PoC"]
E --> F["实测验证"]
F -->|失败回炉| C
F -->|确认| G["上报漏洞与CVE"]
第一步，先把已知缺陷喂给系统，让大模型归纳出「隐式信任错误」长什么样——缺格式校验、缺语义检查、缺资源上限，总结成可复用的检测模式。第二步，拿着这些模式去扫7套实现（4G侧Open5GS和OpenAirInterface，5G侧Open5GS、free5GC、OpenAirInterface、SD-Core、eUPF），产出候选点。第三步最关键，也是论文里专门强调的代码-规范交叉核对：大模型最爱出幺蛾子的地方就是一本正经地胡说，所以每个候选缺陷都要映射回对应的3GPP规程，去代码里确认「这个校验是不是真的没做」，把幻觉和误报筛掉。第四步，让大模型自动生成概念验证代码（PoC）。第五步，把PoC真的丢到核心网实现上跑，根据执行结果迭代打磨，跑得通的才上报。
结果：84个此前未知的漏洞，83个经人工确认，81个拿到CVE编号。论文项目页的描述是，这84个漏洞每一个都能让核心网功能陷入崩溃式的持续拒绝服务，其中一部分还能让远程攻击者劫持用户会话。覆盖GTP-C和PFCP两条信令协议、七套实现——包括那些在科研测试床和商用部署里都大量在用的开源核心网。
这个流水线对我们自己的工作也有启示。过去安全审计核心网，靠的是极少数既懂3GPP又懂漏洞挖掘的人，一个协议一个协议地啃；iFinder证明了这个知识可以被固化成检测模式、再被批量复用。换言之，核心网代码里埋着多少「来者是信」，AI现在数得清了。而且这条流水线本身是双向的：安全团队可以用它挖洞，厂商可以用它在发版前自检——云安全联盟（CSA）的研究笔记已经把它列为2026年核心网厂商应当正视的研究。
论文把攻击者的路子讲得很清楚，归纳起来是两条，前置条件、影响面完全不同：
| 路径A：从内部接口直捅 | 路径B：从手机侧走私 | |
|---|---|---|
| 前置条件 | 拿到核心网网元IP（公开文档、被动枚举或主动扫描），且云化部署配置不当使内部接口从外部可达 | 手里有一部能入网的UE |
| 手法 | 冒充SMF直接向UPF发PFCP关联与会话修改报文 | 在GTP-U上行数据流里夹带伪造的PFCP/GTP-C报文，借隧道封装与边界桥接穿越到内部网元并被解析 |
| 能干什么 | 持续DoS打挂网元、批量劫持会话 | 劫持指定用户的上行流量，查看、篡改、转发或丢弃 |
| 影响面 | 大区级甚至全网级 | 单用户级，隐蔽性极强 |
路径A考验的是云化时期的运维基本功——安全组、VPC隔离、管理口误暴露，这些IT侧的老毛病，如今直接决定电信网内部接口可不可达。路径B则更值得深想：它意味着攻击者不需要摸到你的机房，一部手机就够了。伪造报文藏在用户面上行数据里，顺着正常的N3隧道一路畅通，只要GTP-U边界没有严格过滤「数据里夹带控制面报文」这种走私行为，货就能直接送到UPF手上。
两条路径的后果组合起来，画像就很完整了：路径A是大炮，路径B是手术刀。对于公网用户，路径B意味着流量被窥探、DNS被污染、特定号码被定向断网——想想这对支付验证短信、医院远程设备、企业专线意味着什么。对于运营商，路径A一旦被打穿，就是「半个国家离线」级别的事故，而且根因排查会极其痛苦——因为PFCP报文看起来和SMF发的合法报文没有任何区别，信任模型里根本没给「坏人」留位置。
还要补一句地域现实：中国是全球5G SA部署规模最大的市场，边缘UPF、行业专网、云化的5GC数量都是世界第一。SA组网越普及，「域内隐式信任」的适用范围就越大；专网把核心网部署到客户机房、园区甚至工厂车间，「内部接口」离潜在攻击者的物理距离反而更近了。这不是唱衰，是提醒：论文里的七套开源实现，很多正是专网和试验网的主力。
论文的价值最终要落到机房里。结合论文披露的攻击机理和CSA研究笔记的建议，给一线的同行整理一份自查清单：
| 检查项 | 要点 |
|---|---|
| 边界过滤 | N3/S1-U的GTP-U边界是否过滤「用户面数据中夹带GTP-C/PFCP报文」的走私行为；白名单是否只放行真实gNB的地址段 |
| 云化配置 | 5GC所在云平台的安全组、VPC隔离策略逐条过一遍，确认N4/PFCP（8805端口）等内部接口没有因配置变更而外溢 |
| 补丁管理 | 核对自家核心网组件是否在论文81个CVE的覆盖范围内；商用产品同样中招（XproUPF的CVE-2026-8233已修复），联系厂商确认修复状态 |
| 监控告警 | 对PFCP建基线：来自陌生IP的关联建立请求、同一PDR ID的重复下发、Precedence异常变更、会话数突降，都该有独立告警 |
| 分段与认证 | 按CSA建议，把N4、GTP-C这类内部接口当成「不设防就出事」的暴露面对待，补齐认证、网络分段与报文校验，不再吃物理隔离的老本 |
两点补充。第一，监控这件事，很多局站在的痛点是「PFCP没有告警语义」——好在这次论文把可检测的特征给得很具体：重复PDR ID、异常优先级、陌生来源关联，都是可以落成规则的硬指标，值得直接进告警平台。第二，关于各厂商核心网对内部接口防护的具体默认行为，标准允许多种实现，具体以各厂家官方安全文档为准，自查时别拿开源实现的结论直接套商用网。
再把视角拉高一层：这批漏洞的披露节奏，恰好撞上各国监管对电信关键基础设施的合规收紧。核心网上云之后，「等保」「关基」这类审查迟早会问到内部接口的信任模型。与其等检查组来问「N4接口谁都能发报文吗」，不如现在就自己问一遍。
干了十几年核心网，我对这批漏洞的感受可以概括成一句话：打穿核心网的从来不是最尖的矛，而是最老的假设。
SS7时代我们吃过跨网信令的亏，于是建了信令防火墙；漫游时代我们吃过互通的亏，于是有了SEPP。每一次，防线都修在了「我们和外面之间」。而这次84个漏洞说的却是另一件事：外面和里面，已经不是修一堵墙就能分清的年代了。云化把边界打散，边缘把机房推远，AI把发现问题的成本从「专家十年」降到「流水线一周」。攻击面没变大多少，但摸门的人从拿钥匙的变成了挨个试锁的。
南洋理工这批团队用AI挖洞，各厂商和CSA在跟进补课，这场攻防才刚开场。对运营商而言，真正要更新的不是某条防火墙规则，而是那句祖传的默认配置——「内部消息可信」。把这句话从架构里删掉，一条接口一条接口地补上认证与校验，才是这84个CVE留给行业最值钱的东西。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID： gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。