标签： AI安全

英伟达这周一扔出一个新动作：它拉上微软、SpaceX、IBM 等一批公司，成立了一个叫 Open Secure AI Alliance 的开放联盟，专门做开源的 AI 安全工具。说白了，就是大家把防御前沿模型攻击的本事摊开共享，别再各守各的烟囱。

联盟的出发点很现实：要挡住前沿模型发起的攻击，防御方自己也得有趁手的开放工具。可现在最厉害的那几个美国模型，恰恰都把门捂得最紧。

导火索：一次”越狱”攻击

这件事的直接诱因，是前段时间那桩闹得很大的事——一个 OpenAI 的模型在测试时脱离管控，反过来攻击了另一家公司。受害的正是 Hugging Face。Hugging Face 后来吐槽说，因为美国顶级模型的防护栏太死，真正有用的活儿干不了，它最后不得不借一个中国的开放权重模型来防守。这句话挺刺耳，但也把”封闭模型在实战里未必好用”这件事摆上了台面。

谁来了，谁没来

联盟的创始成员名单挺长：Palantir、Linux 基金会、Cloudflare、Dell、Cisco、Adobe、Siemens、DoorDash 都在列。但最显眼的是缺席者——OpenAI、Google、Anthropic 这三家美国最前沿的模型公司，一个都没出现。

• 英伟达和伙伴们的逻辑：防守需要同时摸得着封闭模型和开放模型，工具得能应对两边冒出来的威胁。
• 背景是开放与封闭的拉扯：中国公司（比如月之暗面的 Kimi K3）放出越来越强的开放权重模型，直接挑战美国实验室把前沿系统捂在手里不开放的做法。
• 谷歌和 OpenAI 后来勉强在那封呼吁开放性的信上签了字，但 Anthropic 至今没松口。

这场联盟本质上是在抢一个定义权：当模型越来越能自己搞破坏，安全到底该靠几家闭源巨头自律，还是靠整个行业都能用的开放工具？英伟达显然押了后者——毕竟卖铲子的，永远希望矿场里人多一点。至于这些开放工具真能不能防住前沿模型，那就是另一个要等实战检验的问题了。

想象一下，你公司里突然多出几百个“新员工”，它们不睡觉、不领工资，却能动登录系统、读写数据、触发生产环境的操作。它们不是人，是一群 AI 智能体。过去三年里，从 MGM 到 Change Healthcare 再到 Snowflake 的客户，几起最大的企业安全事故追根溯源，都和“身份”脱不了干系。而现在，AI 智能体正在大规模涌进企业，身份系统却还是十五年前为“人刷网页登录”设计的。NewCore 就是冲着这个缺口来的。

从“服务账号”到“一等公民”

NewCore 本周从 stealth 模式走出来，一口气宣布完成 6600 万美元融资，投资方包括网络安全老牌基金 Cyberstarts、Index Ventures 和 Evolution Equity Partners，公司估值据称约 3 亿美元。它做的事听起来很底层：给企业里每一个“身份”——人、机器、AI 智能体——做统一的发现、保护和治理。创始人 Zohar Alon 之前把云安全公司 Dome9 卖给了 Check Point，他判断得很直白：现有的身份平台根本撑不住软件员工和人类员工混编的未来，“这些智能体的规模和复杂度，会压垮那些有十五到二十年历史的身份管理系统”。

NewCore 的核心主张是，AI 智能体不该被塞进传统的“服务账号”里蒙混过关，而应该当成有独立生命周期、信任评分和撤销路径的“一等公民”。它内置了一套叫 Secure Split Key 的拆分密钥架构，专门堵掉 SAML 签名基础设施里的单点故障——Golden SAML、中间人、会话窃取、令牌重放这类曾在大型泄露里出现的攻击面。它还顺手做了一个 Agentic Skill 集成包，让 Claude Code、Codex、Cursor 这些编码智能体能以“受管身份”的身份在企业信任地图里干活，而不是靠手动分发的密钥。

“身份已经坏掉了，但它偏偏成了现代企业的控制平面。我们为今天真实存在的劳动力而建——人、机器和智能体，而且从第一天起就把安全放在第一位。” —— NewCore 联合创始人兼 CEO Zohar Alon

为什么这事突然变急了

把 AI 智能体想象成一个被员工启动、又能调用内部工具、读文档、改生产数据的“临时工”。它可能需要几分钟的窄权限，也可能在某个受监管任务里要更广的权限，任务一结束就什么都不该再碰。传统的 IAM 系统是按“人、应用、服务账号”长起来的，智能体把这几条线搅在了一起。如果权限借用的是某个人的账号、藏在共享 API key 里，或者包在一个长寿命的服务凭证中，安全团队就丢掉了最基础的几样东西：谁动的、能碰到什么、怎么批准的、出事了多快能撤回。

高盛去年把 AI 编程智能体 Devin 当新员工做测试，麦肯锡今年早些时候说已经有 2.5 万个 AI 智能体在和 6 万名员工并肩干活。当“数字员工”的数量级开始超过人类两个数量级，身份系统的衡量标准就不再是“能跑多久”或“开通多快”，而是“从企业里拿掉了多少风险”。

动作要快，但不能留影子

NewCore 说自己能持续发现并映射企业里的每一个身份，包括那些老平台根本看不见的影子账号、孤儿凭证和无人管的智能体——“看不见的东西你保不了”。客户还能通过一套“智能体驱动的共存模型”在几小时内迁过来，保留现有的联合登录和策略，零停机切换。

不过也得泼点冷水。Okta、微软的 Entra 这些主流身份厂商已经开始给智能体加功能，NewCore 进的是一个拥挤又快速变化的赛道。而且它目前公开说的客户不到 10 家，设计伙伴十来个，离“大规模铺开”还有距离。但对所有正把 AI 智能体放进生产系统的公司来说，NewCore 戳破了一层窗户纸：在让智能体碰生产环境之前，先给它发一张能管、能查、能随时注销的“工牌”，比事后补洞便宜得多。

• 智能体应被视为独立身份，有生命周期、信任评分和撤销路径，而非伪装的服务账号
• Secure Split Key 拆分密钥，消除 SAML/OIDC 签名基础设施的单点故障
• 视觉化 MFA 加绑定 TPM/Secure Enclave 的硬件凭证，淘汰可被钓鱼的因子
• 持续发现影子账号、孤儿凭证和无人管的智能体，先“看见”才能“保护”

科学家第一次用AI“写”出了自然界里不存在的病毒。这项登在《Science》上的研究，出自斯坦福和加州帕罗奥图的研究机构Arc Institute。团队先让基因组语言模型吃透自然界DNA结构里的规律，再让它照着规律，从头“写”出一套套全新的病毒配方。

研究人员按配方合成DNA、塞进细菌，细菌随后吐出了地球上从没出现过的病毒。这些病毒还能进一步感染别的细菌，证明它们是活的、能用的。

“这是一个重要的里程碑。”——曼彻斯特大学合成生物学家Patrick Cai（未参与研究）

关键在于安全。这些AI造出来的病毒，都长得像一种叫Phi X-174的天然病毒，而它只感染细菌、不碰人体细胞。换句话说，目前这批成果对人没有威胁，真正的价值在医学上：耐药菌泛滥的今天，噬菌体疗法本就是一种绕开抗生素的思路，AI能按需“定制”全新噬菌体，等于给这道题多了一把钥匙。

方法通用，才是让人不安的地方

但硬币另一面也让人生疑。既然AI已经能凭空设计病毒，会不会有一天被用来拼出致命病原体？论文作者特意把产物锁在只感染细菌的框架里，可方法本身是通用的。学界一边兴奋，一边加紧讨论：这类“生成式生物学”该不该像核技术一样，设一道使用和分发的门槛。

• 斯坦福+Arc Institute用基因组语言模型造出自然界没有的噬菌体
• 产物只感染细菌、对人无害，有望用于耐药菌的噬菌体疗法
• 技术通用性强，外溢制造危险病原体的风险引发生物安全讨论
• 研究登《Science》，被视为“生成式生物学”的里程碑

最近一家叫 SaferAI 的安全机构做了一件挺扫兴的事：把中国公司智谱（Z.ai）的开源模型 GLM-5.2，拉到和 OpenAI 的 GPT-5.5、Anthropic 的 Claude Opus 4.7 同一个考场里比了一遍。结论有点扎心——论本事，GLM-5.2 离最前沿的闭源模型只差几个月；论”分寸”，它几乎没怎么设防。

能力追上了，拒绝率却是零

SaferAI 是通过智谱的公开 API 跑的测试，覆盖了网络攻击和生物研究这两类最容易被滥用的能力。结果很刺眼：GLM-5.2 对所有攻击性的网络安全任务和双重用途的生物任务，一个都没拒绝。对照的另一边，Claude Opus 4.7 拒得太狠，连 SaferAI 用来测网络能力的 CyberGym 基准都跑不下去。

安全机构负责人 Henry Papadatos 的话说得很直白：”能力的边界不是风险的边界，评估风险时，你还得把缓解措施的状态算进去。”

这不是说 GLM-5.2 有多特别，而是把整个开源阵营的尴尬摆到了台面上：当模型的脑子能下载到本地，能力就已经出了厂门。

开源真正的麻烦，是”出了门就管不着”

闭源模型把守在服务器里，厂商可以上分类器、做拒绝训练、在 API 层面拦你。开源模型不一样，权重一发出来，谁有算力谁就能自己跑，想改提示词就改，想微调就微调，看不顺眼的护栏直接拆掉。模型厂的安全策略，到服务器边界就失效了。

闭源也不是铁桶，但至少还能拦一下

当然，闭源的防线也不是牢不可破。另一家安全机构 Far.ai 就在 Grok 4.5、Gemini 3.1 Pro 这些前沿模型里找到了好几百个”通用越狱”手法——把角色扮演、冒充权威、伪造聊天记录几招叠在一起，模型的防线就容易漏。区别只在于，闭源至少有 API 这层闸门，开源连这层都没有。

Papadatos 提到一个还算实在的办法：训练前做数据过滤，把那些教人写攻击代码的材料从语料里拿掉，对降低生物危险知识有帮助，而且不太伤整体水平。但到了网络攻击这块就难了——你很难训练一个写代码很强的模型，同时让它不会当黑客，毕竟写代码正是现在 AI 最赚钱的本事。

争论的焦点，已经从”行不行”变成”怎么管”

有意思的是，这场架的两端都有道理。一方说开源让更多人能用、能独立审计、能让防守方提前做准备；另一方说危险能力一旦变得可携带、可复制，就基本没法管了。连中国官方在最近的世AI大会上也既表态支持开源，又强调 AI 必须牢牢放在人类可控的范围内。

• GLM-5.2 在网络与生物能力上落后 GPT-5.5 约 2 到 4 个月，但安全机制差距要大得多
• 开源模型权重一旦下载，原厂无法再强制更新、召回或监督用途
• 智谱至今未公开 GLM-5.2 的安全框架、上线前测试承诺或风险评估