复旦大学 张源 教授
报告生成时间：2026年8月21日
个人主页：张源
所属团队：复旦大学系统软件与安全实验室（S3L，"复旦白泽"团队）
一、学者基本信息
| 字段 | 信息 |
|---|---|
| 姓名 | 张源 |
| 出生年份 | 未见权威公开披露 |
| 职称 | 教授、博士生导师（2022年12月起任教授，此前为副教授） |
| 所属单位 | 复旦大学计算与智能创新学院（原计算机科学技术学院） |
| 实验室职务 | 复旦大学系统软件与安全实验室共同负责人（共同指导）；"复旦白泽"战队联合创始人、指导教师 |
| 学术头衔 | ACM SIGSAC中国新星奖获得者（2020年）；USENIX Security杰出论文奖获得者（2022年，合作者身份） |
| 国家级人才 | 已入选国家级青年人才计划（据实验室官方主页表述，具体批次与名称未见公开披露） |
| 其他任职 | 复旦白泽战队指导老师；多门实践型安全课程的授课教师 |
| 邮箱 | yuanxzhang@fudan.edu.cn（据实验室官网及公开论文） |
| 研究方向 | 软件安全、程序分析、安全攻防技术；具体覆盖移动系统安全、漏洞挖掘与利用、固件安全、智能攻防（AI for Security）、大模型与智能体安全等 |
张源是复旦大学网络空间安全方向的骨干学者，本科毕业于南京大学软件学院，博士毕业于复旦大学计算机科学技术学院，毕业后留校任教至今，历经讲师、副教授、教授的完整晋升轨迹。他与实验室学术带头人杨珉教授长期深度绑定，共同建设系统软件与安全实验室，并于2018年4月联合孵化成立"复旦白泽"安全攻防战队，带队取得全国大学生信息安全竞赛总决赛五连冠（2020至2024年）、DEFCON AutoDrive CTF第一名（2021、2022年）、趋势科技CTF全球总冠军（2020年）等50余项国际国内比赛冠军。其研究工作主要发表于IEEE S&P、ACM CCS、USENIX Security、NDSS等网络与系统安全四大顶级会议，入选国家级青年人才计划、上海市基础研究特区计划、上海市启明星计划，2020年获ACM SIGSAC中国新星奖。近年来其研究重心逐步从移动安全扩展至大模型与智能体安全、内核与固件漏洞分析等前沿方向。
二、教育背景与职业履历
张源的教育经历在公开渠道中有较为明确的记录。他于2005年9月至2009年6月在南京大学软件学院攻读本科，获工学学士学位（南京大学软件学院将其列为2009届优秀本科毕业生）；2009年9月保送或考入复旦大学计算机科学技术学院直接攻读博士学位，2014年6月获理学博士学位。需要注意的是，其博士导师的正式署名在权威公开渠道（学校官网、个人主页、学位论文库）中未见明确披露；但从其博士期间的代表性成果看，其论文（如2014年发表于IEEE TIFS的安卓权限使用分析平台VetDroid）即与杨珉、杨哲慜、顾国飞、宁鹏、藏斌宇等学者合作完成，其中与杨珉的合作关系在其读博期间即已建立，并延续至今，构成了他此后学术生涯中最核心的合作纽带。由于杨珉在2013年前后方全职回到复旦大学工作，张源与杨珉之间更接近"博士期间深度合作、毕业后长期共事"的强绑定关系，而非可严格确证的直接师承关系，此点在引用时应予以注明。
其职业履历清晰且高度稳定，始终扎根复旦大学：
- 2014年7月至2017年11月：复旦大学计算机科学技术学院，讲师（助理教授）；
- 2017年12月至2022年11月：复旦大学计算机科学技术学院，副教授（其间于2018年4月与杨珉共同组建复旦白泽战队，2020年获ACM SIGSAC中国新星奖）；
- 2022年12月至今：复旦大学计算与智能创新学院（由原计算机科学技术学院等整合更名），教授、博士生导师；
- 2018年4月至今：复旦白泽战队联合创始人兼指导教师，与杨珉共同指导。
值得说明的是，其个人英文主页的简介部分仍保留"Associate Professor"（副教授）的旧表述，而实验室中文官网、学院官网及媒体报道均已一致称其为教授、博导，本报告以中文官方信息为准。
三、学生培养情况
张源长期坚持"以赛促学、赛研结合"的实战型人才培养路线，其指导的学生在顶级会议论文产出与国际安全竞赛战绩两方面均表现突出。以下列举若干代表性学生（部分学生中文名以公开报道为准，仅有论文拼音署名的学生已注明不确定性）：
1. 刘丰毓（复旦大学博士研究生，张源与杨珉共同指导的硕博连读生、白泽CTF战队队长）
刘丰毓是复旦大学2021级硕博连读生（2026年毕业，据戴嘉润报告及实验室公开报道），官方导师为张源教授、杨珉教授，同时担任白泽CTF战队队长，是张源"科研+竞赛"双轨培养模式下的代表人物。他以第一作者发表的论文"BACScan: Automatic Black-Box Detection of Broken-Access-Control Vulnerabilities in Web Applications"（与香港中文大学合作）获ACM CCS 2025杰出论文奖，该工作针对长期位居OWASP十大风险首位的越权漏洞提出首个反馈驱动的黑盒检测框架。此外，他还以第一作者或主要作者身份发表了智能体漏洞挖掘工作AgentFuzz（USENIX Security 2025）、Java Web越权检测工作MOCGuard（IEEE S&P 2025，与某全球领先科技公司合作，确认161个零日漏洞、获73个CVE编号）以及BACAgent（CCS 2026）等，是国内Web与智能体安全方向极为高产的青年学者。他曾作为主力队员代表复旦参加2022年全国大学生信息安全竞赛总决赛并夺冠（该届复旦实现三连冠）。
2. 戴嘉润（复旦大学计算与智能创新学院副研究员，实验室培养留校的青年骨干）
戴嘉润（论文署名Jiarun Dai）现为复旦大学计算与智能创新学院副研究员，是在系统软件与安全实验室内成长并留校任教的青年研究人员，与张源保持长期密切的合作研究关系（据其个人主页，其2023年6月获复旦网络空间安全博士学位，博士期间由杨珉教授与张源教授联合指导）。他是多个重量级成果的骨干作者，包括安卓应用跨版本差异分析工具ApkDiffer（OOPSLA 2025）、固件重托管框架Khost与跨语言固件漏洞检测框架FirmCross（均发表于USENIX Security 2026、NDSS 2026）、自动驾驶系统模糊测试平台ExplorIt（TOSEM 2026）等。在2026年白泽智能体冲击国际AI安全基准CyberGym并取得全球第二、高校第一的攻坚中，他是核心带队教师之一，专攻漏洞攻防方向。
3. 潘旭东（复旦大学计算与智能创新学院副研究员，实验室培养留校的青年骨干）
潘旭东（论文署名Xudong Pan）同为计算与智能创新学院副研究员，深耕AI安全方向，与专攻漏洞攻防的戴嘉润形成互补，是团队"AI for Security"路线的另一核心带队教师。他与张源合作发表了多项大模型与智能体安全研究成果，例如智能体资源滥用导致拒绝服务漏洞的检测工作AgentDoS（USENIX Security 2026）、小程序小游戏恶意广告行为研究（SaTS 2025，与腾讯相关团队合作）等。据张谧教授白泽AI团队公开材料，其为该团队培养的博士毕业生（受张谧与杨珉共同指导），后与张源长期联合发表研究，属于其紧密合作圈层的年轻一代代表。
4. 孙心乾（白泽战队主力队员、复旦研究生，张源指导的战队队员）
孙心乾是2022年第十五届全国大学生信息安全竞赛总决赛夺冠阵容的四名队员之一（同届队友为赵钰迪、刘丰毓、李忠睿，指导老师为张源），该届比赛白泽战队从全国2218支队伍中以8398的高分夺冠，实现复旦在该赛事的首个三连冠。作为张源直接指导的白泽战队队员，其个人后续去向未见公开披露，此处主要依据复旦官方媒体报道确认其与张源的指导关系。
5. Youkun Shi（博士研究生，张源指导的高产在读博士生，中文名待考）
Youkun Shi（中文名尚无权威公开来源，暂以论文拼音署名记述）是张源指导下Web安全方向极为高产的博士生，以第一作者发表了XSS漏洞模糊测试框架XSSky（USENIX Security 2025）、PHP污点型漏洞检测框架VUnitFuzz与自动化基准生成工具PHPBench（均获CCS 2026录用）等系列工作，并有IEEE TIFS、TSE期刊论文，其研究多与香港理工大学罗夏朴（Xiapu Luo）团队联合完成。该生信息主要依据张源个人主页论文列表推断，其具体年级与培养阶段未公开。
6. Bocheng Xiang（博士研究生，张源指导的博士生，中文名待考）
Bocheng Xiang（中文名尚无权威公开来源，暂以论文拼音署名记述）以第一作者发表的"Pig in a Poke: Automatically Detecting and Exploiting Link Following Vulnerabilities in Windows File Operations"获USENIX Security 2025荣誉提名奖，并继续推出运行时防护工具LinkGuard（NDSS 2026）及不完整补丁分析工作From Fix to Flaw（CCS 2026），是Windows文件系统链接跟随漏洞方向的代表性青年研究者。其与张源的指导关系依据论文中张源作为通讯/资深作者的署名格局推断。
7. Zongan Huang（博士研究生，张源指导的博士生，中文名待考）
Zongan Huang（中文名尚无权威公开来源，暂以论文拼音署名记述）主要研究自动驾驶系统安全，以第一作者发表了自动驾驶事故自动化诊断系统ADSDx（TOSEM 2026）等成果，并深度参与仿真化自动驾驶模糊测试平台ExplorIt等与北京大学谢涛团队合作的工作，体现了张源团队在无人驾驶安全方向的人才布局。
总体来看，张源的学生群体呈现三个鲜明特征：一是"顶会论文+国际竞赛"双线高产；二是多数学生以漏洞挖掘与攻防实战为研究底色，与白泽战队的竞赛训练形成正反馈；三是毕业生中既有人留校任教（戴嘉润、潘旭东），也有多人进入微软等国际企业安全岗位（白泽战队成员曾连续两年获评微软全球最具影响力安全研究员），学界与业界输出并重。
四、学术合作网络
4.1 学术谱系与师承关系
张源的学术谱系可从三个层面梳理。求学层面，他本科出身南京大学软件学院（2005至2009年），博士就读于复旦大学计算机科学技术学院（2009至2014年）。其博士导师身份未见权威公开署名，但从论文合作网络看，其博士期间的核心合作者包括杨珉（时任美国高校教职，2013年前后全职回归复旦）、杨哲慜、顾国飞、宁鹏、藏斌宇等人，其中与杨珉的合作贯穿其整个学术生涯，是最接近"师承"实质的关系。共事层面，毕业后他留校加入杨珉领衔的系统软件与安全实验室，逐步成长为实验室共同负责人，与杨珉构成"学术带头人+共同负责人"的双核结构，二人共同指导博士生（如刘丰毓的导师即署名为张源、杨珉二人）、共同指导白泽战队，形成了事实上的联合培养谱系。传承层面，其联合指导或合作培养的学生戴嘉润（据其个人主页，由杨珉、张源联合指导）、潘旭东（据张谧团队材料，由张谧、杨珉共同指导）已留校任副研究员并开始独立带学生，"杨珉—张源—戴嘉润/潘旭东"的三代梯队已在实验室内部形成。
4.2 核心学术合作网络
从其近年论文的署名格局看，张源的合作网络可分为四圈。第一圈是实验室内部：杨珉（几乎所有论文的资深作者）、杨哲慜、杨广亮、张谧、张磊等实验室同事，构成稳定的内部合作核心。第二圈是国内兄弟高校：与北京大学谢涛（ExplorIt，自动驾驶安全）、清华大学相关团队、西北工业大学唐瞻远（二进制分析BinReX，USENIX Security 2026）、国防科技大学王宝生（固件安全FirmCross，NDSS 2026）、浙江大学及上海交通大学等团队保持持续合作；博士早期还与德克萨斯农工大学顾国飞、北卡州立大学宁鹏等海外华人学者合作。第三圈是港澳与国际合作者：香港中文大学Wei Meng（BACScan，CCS 2025杰出论文）、香港理工大学罗夏朴（XSSky、PHPBench等一系列Web安全工作）、约翰斯霍普金斯大学Yinzhi Cao（超级应用身份混淆研究，USENIX Security 2022杰出论文）、瑞士洛桑联邦理工学院Mathias Payer（补丁引导漏洞检测VulGenie，USENIX Security 2026）等，均为多次合作的深度伙伴。第四圈是产业界研究团队：与腾讯安全相关研究团队（二进制分析方向合作）以及多家头部互联网企业（详见第五章）存在联合研究与论文合作。这一网络显示，张源已深度嵌入国内外系统安全学术共同体，其合作强度与广度在国内同年龄段安全学者中处于第一梯队。
4.3 与白泽战队的复合网络
张源的合作网络还有一层独特维度：以白泽战队为载体的"竞赛—科研—产业"复合网络。战队成员既是其学生，又是竞赛队友，同时通过漏洞报告与产业界（中国电信、中国平安、京东微联、爱奇艺等厂商）建立技术连接；战队连续两年有成员获评微软全球最具影响力安全研究员，并与百度、华为、阿里、腾讯开展成果转化合作，使张源的学术网络天然延展至国际安全产业圈层。
五、业界合作关系深度分析
5.1 主要业界合作与项目
系统软件与安全实验室（张源为共同负责人）的校企合作规模在国内高校安全团队中位居前列，总经费超过9000万元，代表性合作包括：其一，与阿里巴巴共建"复旦—阿里应用程序安全联合研究中心"，由阿里投入1500万元，聚焦应用程序安全研究成果的产业化；其二，与华为、百度等龙头企业的长期联合项目，实验室多项关键技术成果在华为、百度、支付宝等企业落地，服务全球数十亿用户；其三，与腾讯生态的合作，包括承办XCTF国际网络攻防联赛分站赛、参加腾讯TCTF新星赛并获奖，以及与腾讯相关安全团队的联合研究；其四，与OPPO（OPPO网络安全挑战赛）、以及早期与猎豹移动、蚂蚁金服、中国电信等企业的技术合作，研究成果应用于上述企业产品。此外，张源团队论文中多次出现与世界领先科技公司在Java Web越权漏洞检测等方向的联合评测（如MOCGuard与某头部公司的合作评估），显示其与产业界的技术验证渠道畅通。在公共服务层面，实验室与上海市大数据中心围绕"一网通办"政务安全开展联合攻关（该成果获上海市决策咨询研究成果奖一等奖），张源作为实验室核心成员参与其中。
5.2 产业转化与人才流动
在产业转化方面，张源团队的研究成果形成了"漏洞发现—负责任披露—厂商修复—产品化"的成熟链条：团队及白泽战队累计发现数百个零日漏洞并获得大量CVE/CNVD编号（仅固件模糊测试框架HouseFuzz一项即获45个编号），相关检测与防护技术（越权检测、补丁移植、模糊测试框架等）在与阿里、华为、百度、腾讯的合作中实现工程化落地。在人才流动方面，其人才输出呈现"留校任教+头部企业就业"双通道：戴嘉润、潘旭东留校任副研究员，充实了团队自身梯队；白泽战队成员进入微软（连续两年有人获评微软全球最具影响力安全研究员）、以及国内头部互联网与安全企业担任安全研究员；实验室亦为"一网通办"等政务安全体系建设输送了实战型人才。整体上，张源所在的团队构建了从高校科研到产业安全能力的完整人才与技术循环。
六、重要奖项与学术兼职
| 奖项/兼职 | 时间 | 说明 |
|---|---|---|
| ACM SIGSAC中国新星奖 | 2020年 | 表彰其在计算机安全领域的突出科研潜力，每年获奖者不超过3人（获奖时为副教授） |
| USENIX Security杰出论文奖 | 2022年 | 作为合作者参与的"Identity Confusion in WebView-based Mobile App-in-app Ecosystems"（超级应用生态身份混淆研究）获奖 |
| 国家级青年人才计划 | 入选（年份未公开披露） | 据实验室官方主页表述，具体计划名称未见公开披露 |
| 上海市基础研究特区计划 | 入选（年份未公开披露） | 据实验室官方主页表述 |
| 上海市启明星计划 | 约2020年前后入选 | 上海市青年科技人才计划（另有早期的上海市青年英才扬帆计划记录） |
| 指导学生获ACM CCS杰出论文奖 | 2025年 | 学生刘丰毓为第一作者的BACScan获奖 |
| 指导学生获USENIX Security荣誉提名奖 | 2025年 | 学生Bocheng Xiang为第一作者的Windows链接跟随漏洞研究获奖 |
| 指导白泽战队获全国大学生信息安全竞赛总决赛冠军 | 2020至2024年 | 连续五年蝉联，含2022年带队实现该项赛事史上首个三连冠 |
| 指导白泽战队获DEFCON AutoDrive CTF第一名 | 2021、2022年 | 国际自动驾驶安全赛事 |
| 指导白泽战队获趋势科技CTF全球总冠军 | 2020年 | 国际赛事总冠军，战队累计获50余项国际国内冠军 |
| IEEE S&P程序委员会委员 | 多年 | 网络安全四大顶会之一 |
| USENIX Security程序委员会委员 | 多年 | 网络安全四大顶会之一 |
| NDSS程序委员会委员 | 多年 | 网络安全四大顶会之一 |
| USENIX ATC、WWW等会议程序委员会委员 | 多年 | 系统与网络领域重要会议 |
| EMSE（Empirical Software Engineering）编委 | 多年 | 软件工程领域知名期刊 |
| 软件学报"系统软件安全"专刊特邀编委 | 多年 | 国内计算机领域权威中文期刊 |
七、Connection圈层总结
综合来看，张源教授的学术关系网络呈现出以"复旦S3L实验室—白泽战队"为双内核、逐层外扩的圈层结构。第一圈层是其与杨珉构成的学术双核：二人自张源博士时期（约2010年前后）即开始合作，历经十余年形成"杨珉掌舵学科与资源、张源主导攻防技术与战队"的分工格局，共同指导的学生与共同打造的战队使这一关系成为国内安全学界最稳固的学术搭档之一。第二圈层是实验室同侪与学生梯队：杨哲慜、杨广亮、张谧等同事，戴嘉润、潘旭东等留校骨干（二人分别由杨珉与张源、张谧与杨珉联合或共同指导培养），以及刘丰毓等高产能的博士生群体，构成其日常科研的主力网络。第三圈层是国内安全学术共同体：北京大学谢涛、西北工业大学唐瞻远、国防科技大学王宝生等合作者，以及通过ACM SIGSAC中国分会、各类程序委员会建立的学术服务网络。第四圈层是国际学界与产业界：香港中文大学Wei Meng、香港理工大学罗夏朴、约翰斯霍普金斯大学Yinzhi Cao、洛桑联邦理工学院Mathias Payer等国际合作伙伴，加上阿里、华为、百度、腾讯、微软等企业的合作与人才输送渠道，使其网络具备明显的全球化与产业化纵深。
这一网络格局的形成，与张源个人的成长路径高度相关：作为南大软件学院培养、复旦本土成长的学者，他没有显赫的海外留学履历，却凭借与杨珉的长期绑定、对攻防实战的坚持和对新兴方向（大模型与智能体安全）的快速卡位，在十年内完成了从讲师到教授、从单一研究方向到多方向布局的跃升。其圈层的独特价值在于"学研赛产"四位一体：学术圈层提供顶会论文与人才，竞赛圈层（白泽战队及其学员）提供实战能力与声誉，产业圈层提供经费与应用场景，三者在漏洞挖掘这一共同技术底座上闭环运转。对于希望与张源建立连接的学者或机构而言，最有效的切入点是其活跃的博士生产出与国际合作传统；对于评估其学术影响力的观察者而言，其网络的短板在于师承谱系在公开层面较为模糊、独立于杨珉的品牌度尚在建设中，但随着其学生在2025年前后密集斩获四大顶会奖项、白泽智能体在2026年国际AI安全评测中登顶高校第一，张源作为独立学术领袖的圈层影响力正处于快速上升期。本报告中未确证事项（博士导师身份、部分学生中文名、国家级人才计划具体名称等）均已如实标注，供后续进一步查证。