标签： AI安全护栏

过去几个月，AI大厂为了防止黑客滥用模型，设计了一整套审核准入和安全护栏。出发点没毛病，但现在一批合法的安全研究员发现，自己的正经工作先被拦住了——那些以找漏洞、写利用代码为业的白帽子，正在被自家阵营的AI拒之门外。

同一把锤子，既盖房也伤人

事情的背景要从6月说起。美国政府当时对Anthropic的Mythos和Fable两款模型下了出口管制，起因之一是有报告称其防攻击护栏可以被绕过。管制后来解除了，Fable 5在7月1日恢复开放，Mythos 5则只向通过审查的美国机构重新开放。眼下OpenAI有Trusted Access for Cyber计划，Anthropic有Cyber Verification Program，安全研究员要先申请、被审核，通过了才能用上限制更少的模型。

知名安全研究员Mark Dowd在播客里说得很直接：几家大公司凭什么替整个行业裁定”什么安全研究是安全的”。NCC Group首席科学家Chris Anley则点出了问题的死结——让AI尝试利用一个bug，是确认漏洞真实存在的关键步骤，而护栏一旦让模型直接拒答，受伤的是防御方。

“修复这段代码”这个提示词，既是防御的基本手段，也是找出致命漏洞的路线图。同一个工具，攻防一体，根本拆不开——就像锤子，你没法用一把不能敲东西的锤子盖房子。

被护栏劝退的人，去了哪里

漏洞交易公司Crowdfense的CTO Paolo Stagno吐槽，AI公司”把客户当成需要保姆看着的小孩”。他们团队只拿前沿模型做逆向工程，找漏洞、写利用一律不碰云端模型——不是怕拒答，而是怕高价值的漏洞数据被喂进下一轮训练。这类活儿他们全部用本地部署的开源模型来干。

一位不愿具名的手机零部件厂商研究员说，公司没进Anthropic的审核名单，结果模型”一旦嗅到我们在干安全相关的事就直接罢工，基本没法用”。RemoteThreat的CEO Chris Thompson补充了另一个痛点：护栏的尺度每天都在变，即便在审核通过的项目里也一样，”大量时间花在跟模型讨价还价上，而不是分析漏洞本身”。

• 研究员的普遍退路：转向可本地运行、无使用限制的开源模型，敏感数据不出本机；
• 也有例外：研究员Giuseppe Cali只用AI做逆向和辅助工具，”挖洞这件事我要亲自来，护栏全拆了我也不变”；
• Thompson的判断：护栏没拦住真正的攻击者，反而把守规矩的研究员从受监管的体系里推了出去。

Thompson给AI实验室的建议是反着来：把准入计划开得更大，给负责任的研究员正常访问权，谁滥用就追责谁，而不是一刀切收紧。他的理由带着紧迫感——一场速度和规模前所未有的攻击浪潮正在路上，而此刻被捂住手脚的，恰恰是想赶在犯罪分子前面把漏洞补上的那批人。

这两年AI大厂拼命给自家模型上锁，生怕被黑客拿去搞破坏。可锁装得太死，最先被卡住的反而是那群本该被保护的人——正儿八经找漏洞、修系统的网络安全研究员。他们现在越来越头疼，甚至开始转投中国的开源模型。

一把工具，既能盖房也能砸人

今年6月，美国政府对Anthropic两款被吹得神乎其神的模型Mythos和Fable下了出口管制。导火索之一，是有报告称能绕过模型防护、拿它来造网络攻击。后来管制解除了——Fable 5在7月1日恢复公开访问，Mythos 5只对通过审核的美国机构重新开放。但这场风波把一个矛盾摆上了台面。

NCC Group首席科学家Chris Anley说得很直白：让AI去尝试利用一个漏洞，是确认它”真的是漏洞、值得修”的关键一步。可一旦护栏直接让模型拒答，防守方就抓瞎了。

“这就像一把锤子。没有锤子你盖不了房子，它是工具，但它也无可避免地是件武器。攻击工具和防御工具其实是同一样东西，根本掰不开。”

“把客户当小孩看管”

干了几十年、专门找零日漏洞卖给西方政府的资深研究员Mark Dowd吐槽，让一堆大公司随意决定”安全领域什么能做什么不能做”，让他很不舒服。漏洞交易公司Crowdfense的CTO Paolo Stagno话更冲，说AI公司搞审核和护栏这套，”本质上是把客户当成需要保姆看着的小孩”。

不过也有人觉得没那么夸张。研究员Giuseppe Cali就说护栏没挡他的路，因为他压根不用AI做攻击那部分——只拿来做初步逆向、理解代码、搭辅助工具。用他的话说，他”舍不得把自己的漏洞交给模型去玩”，这游戏他自己玩得太上头。

护栏时好时坏，逼人转向中国模型

RemoteThreat的CEO、Offensive AI Con创办人Chris Thompson的抱怨更具体：前沿模型的护栏时松时紧，每天表现都不一样，哪怕是在Anthropic和OpenAI那些”审核过的项目”里也是如此。结果研究员大把时间花在跟模型”讨价还价”上，而不是真正分析漏洞。

• 一名智能手机零件厂商的研究员说，公司没进Anthropic的审核项目，模型”一嗅到跟安全沾边就停下来，根本没法用”；
• 碰壁之后，不少人干脆退回到完全没护栏的开源模型；
• Thompson直言，很多人被推向了像GLM这类中国开源模型——免费下载、本地运行、没有任何审核和使用限制。

这就有点讽刺了。”你把这些负责任的研究员，从美国管辖的系统赶到了外国拥有的系统上，”Thompson说，”我觉得这些护栏弊大于利。”他呼吁前沿实验室别再一味收紧，而是把项目开放、给出负责任的访问权限，再去追究真正滥用工具的人。否则真等那波”前所未有、又快又大规模”的攻击浪潮来了，防守的一方反而先被自己人的锁困住。