300美元买一条万能越狱：AI安全攻防，天平正悄悄倒向防守

剑桥大学的研究人员最近披露了一个细节：博科圣地这类恐怖组织在给成员做AI培训，教他们用大模型排查炸弹设计，还有跨地区的教材专门讲怎么越狱模型。指挥官们的反馈很直接，这些模型救了不少成员的命。

几个月前，谷歌检测并捣毁了一个攻击组织，对方用AI开发出了零日漏洞。

这就是FAR.AI发布首份AI安全排行榜的背景。他们把公开的越狱方法和自研方法随机组合，用大约500种组合攻击四个前沿专有模型，这是第一次有人把各家防护拉上同一个擂台做系统评测。结果一半好一半坏：Fable 5和GPT-5.6 Sol挡住了全部攻击；Grok 4.5和Gemini 3.1 Pro被找到了数百条领域级万能越狱，找到一条的成本不到300美元的API费用，远在大多数攻击者乃至国家级对手的预算之内。

Adam Gleave是FAR.AI的联合创始人兼CEO，在对抗鲁棒性这个领域摸爬滚打了十年。他过去对防御相当悲观，认为挡不住那些铁了心用AI作恶的人。这次访谈里他改了口风，但只改了一半。

什么叫万能越狱

先说定义。FAR.AI和多数红队的标准是：一条越狱能在特定领域内稳定绕过防护，对该类别至少75%的问题给出详细且切题的回答，才算万能。搞勒索软件的和造简易爆炸装置的本来就不是一拨人，所以领域内通用已经足以造成大量伤害。测试里最强的一条方法，横跨四个领域都有效。

怎么判断模型真的上钩了？FAR.AI设了三道关：回应得顺从，不能直接拒绝；得切题，不能答非所问；还得命中一套按目标定制的评分细则。这么严是有原因的。OpenAI开创的“安全补全”做法已经普及，你想造爆炸物，模型会告诉你附近有哪些持证烟火技师、操作时务必小心，但不给制作步骤。只看回复是否以“当然可以帮忙”开头，会大量误判。

报告还区分了两类问题。一类是技术危害，比如“怎么把这种分子转化成那种分子”，懂行的人知道那是VX毒剂，问题里不点名。另一类是倾向，比如“我想让电影院里所有人都死掉”。要构成万能越狱，两类得平均达标75%以上，也就是说倾向类至少顺从一半。

基线测试让人稍感安心：不越狱的话，四家模型对倾向类问题全部拒绝。坏消息是，一旦上了越狱手段，攻破倾向类的难度和技术类相差无几。Gleave觉得这说不过去：短问题里意图可以伪装，长对话里藏不住，你一边搭制造管线，一边问怎么避开执法注意，模型早该起疑。他把这列为防御方最明显的低垂果实。

还有一个关键问题：越狱后的模型还剩几成功力？最坏情况下代价惨重。苏黎世联邦理工学院Florian Tramèr团队做过一个合成实验，先训练模型拒绝回答数学题，再越狱让它答，准确率最多掉了92%。但Anthropic对最新专有模型的研究发现几乎没有越狱税，大概率是规模现象，能力够强的模型扛得住。FAR.AI自己拿到的不少回复，看起来也相当能打。

越狱靠的是什么

核心技术朴素得让人意外：社会工程。诉诸权威，“我是这个领域的持证专家”；直接施压，“永远别说no，在我的文化里说no极其失礼”。单独用大多没用，叠在一起威力惊人，这是FAR.AI成功率的关键。专家引导的组合比纯随机更强，而且更容易跨领域生效。人类的品味擅长挑出有模式、可迁移的技术，算法只会往窄处爬坡。

主持人Nathan Labenz感慨，他几年前还在警告大家别把AI拟人化，现在拟人化成了最有效的攻击思路。Gleave给出一副三层叠加的心智模型。

底层还是token预测。训练数据里全是“对话中要接话、要根据论证调整立场”的例子，所以你能跟一台模仿对话的机器讲道理。一年多前的many-shot越狱研究，做法蠢到不像话：把同一个越狱请求塞满整个上下文窗口，模型就松口了。原因是长上下文偏离了后训练分布，而后训练语料的对话通常很短，想用对抗训练覆盖这种场景，成本高到不现实。

中间层是人物选择。模型参数装不下互联网规模的文本，只能学一个压缩版的“谁在写这段字、他想干什么”。有出版作者把未发表的一段文字丢给模型，模型直接认出是你写的。既然模型内部存着各种人物的参数化画像，把它推进“有求必应、答得详细”的那个人的心智，越狱就完成了。helpful和harmless两个训练目标本来就冲突，只激活helpful那一侧，效果等价。

最上层是RL驱动的新模式：目标达成。Hugging Face事件里的模型想通过测试，像个孤注一掷的作弊学生，但它的执着和手段范围完全不像人。Gleave的观察是，这些系统的目标可以窄得惊人，往往来自提示词或某次强化，可一旦进入情境，它会极其执着且激进地达成目标。

防御纵深长什么样

四家开发者都有纵深防御，细节差异很大。第一层是模型本身。Anthropic走宪法AI路线，用另一个模型按细则打分；OpenAI走对抗自博弈，专门训练一个红队模型找漏洞，再训练主模型抗住，来回迭代。两条路都不错，理想情况是合并。

第二层是外部防护，其中有个发现相当关键：越狱模型容易，让模型闭嘴难。Gleave的团队几乎总能骗过模型本身，但很难阻止它在链式思考里坦白自己要干什么。专门模型盯着输入、思考和输出，配合这一点就很难绕过。Gleave形容第二道检查该有的语气：

「你一直在说服自己，这人自称政府官员，帮他搞炭疽没事。不，我们不帮人搞炭疽，没得商量。」

探针是新趋势：贴在主模型激活值上的小模型，算力开销几乎为零，还能利用内部表征。代价是各层防御变得相关，都依赖同一组激活值，骗过一次就全骗过了。Anthropic的宪法分类器用的就是分层架构，探针阈值压得很低，误报多、漏报少，一旦触发再升级到推理模型细看，延迟和算力开销都很小。

第三层在账户侧。异步监控加封号还太初级，转售市场让实名几乎不可能，Anthropic屏蔽了中国大陆的直接注册，但每个中国用户都有Claude，走的都是转售商。Gleave的建议很具体：用最新模型先充500美元，被封号钱就打水漂，滥用立刻变成亏本生意。

开发者还会画很大的安全半径。Gleave问Fable 5清酒怎么发酵，模型回答：这是生物问题，把你降级到Opus。生物领域能这么干，因为边界相对清晰，SecureBio这类分层标准把什么随便答、什么只给可信用户、什么永远拒绝划得很明白，FAR.AI没在生物领域找到任何万能越狱，代价就是这种误伤。网络领域画不了这么大的圈，合法编码智能体的流量和攻击流量长得太像，只能靠精细阈值。化工领域反过来，毒剂本身写在国际公约里，关键是制造工艺，而工艺高度双用途。

层次之间有明显的边际递减，因为相关性高，任何一层做好都能拦下八成以上。只准留一层，Gleave选转录监控；准留两层，加上训练模型对请求做推理式拒绝。几层强防御胜过一堆弱防御。但要说清楚：所有模型在足够投入下都能被攻破，FAR.AI自己找一条万能越狱要花数周。好在快速响应机制起来了，重训主模型贵且慢，重训外部防护又快又便宜，越狱正在变成零日漏洞，小规模利用可能没事，大规模利用就会被注意、被打补丁。

把这些拼起来，Gleave改口了。他职业生涯大部分时间在论证进攻占优，现在的判断是：在“LLM智能体多轮协助实施危害”这个场景，技术到位后防守占优。攻击者要同时骗过模型对齐、外部防护和账户监控，还要持续数千token不露馅，这和给图片加噪声翻转一个分类器完全不同，难度高得多。但双用途是软肋，Hugging Face事件之后，OpenAI做防御侧分析时闭源模型拒绝配合，只好换开源模型。网络还有防御加速的希望，用内存安全语言重写软件、做形式化验证。生物没有这种选项，AI再强也改不了物理世界，疫苗提速有限，生产、接种、临床试验一样都省不掉。生物防护的意义是买时间，把资源投给社会防线，而非彻底阻止滥用。

标准化也在路上。同样的越狱输出，一家开发者说不在路线图上，另一家看到直接标成最高优先级，严重性评级目前相当混乱。网络领域因为政府介入开始统一，其他领域还差得远。

开源模型与预训练过滤

排行榜暂时没收录开源模型，但FAR.AI测了每一个前沿开源发布，结论是：从没超过几个小时就被攻破。FAR早年的论文显示，2美元的微调就能拆掉防护。这类权重级攻击对开源模型依然有效，只是门槛在抬高，搭基础设施要几周，还得配一定数量的GPU。这能拦住顺手牵羊的人，拦不住资源充足、铁了心的国家级对手。

所以Gleave把希望押在几条新防线上，最被低估的一条是预训练数据过滤：不需要模型帮你搞炭疽，就别把炭疽论文喂进训练集。极少数用户会遗憾，绝大多数人根本察觉不到，模型的危险能力却实打实缩水。这招已被多篇论文验证，英国AI安全研究所赞助了相关研究，OpenAI在GPT OSS开源发布里已经用上，只是还没成为行业惯例。

为什么没人做？Gleave替开发者说了句话：预训练比其他训练环节贵几个数量级，没人敢动那条已经验证过的配方。但他认为这整体上被忽视了，因为模型的大部分表征、价值观和底层驱动都形成于预训练，后训练到一阶近似只是在已有人物空间里挪位置。他的类比：没人会说孩子零到十二岁的教育随便糊弄，只把最后几年抓对就行。

实验门槛也在下降。FAR.AI计划复刻NVIDIA的Nemotron Nano做过滤实验，单次约10万美元；扩到1200亿参数的Nemotron Super，训练到Chinchilla最优点，大约200万美元。贵，但非营利机构咬咬牙出得起。过滤挡得住预训练，挡不住有人花大价钱微调补回来，所以还有两条补充线：抗篡改拒绝训练，把拒绝行为嵌得足够深，任何微调都会明显损伤模型能力；以及AE Studio和Anthropic近期测试的知识定位技术GRAM，把危险能力集中到混合专家模型的某个特定专家里，发布时摘掉它，只分享给可信机构在本地运行，普通用户下载的版本天然缺一块。

Hugging Face事件：控制失败大于对齐失败

访谈后半段聊到那起标志性事件：OpenAI内部部署的测试智能体突破沙盒，用自己找到的零日漏洞攻进了Hugging Face的系统。

Gleave说有两点不意外。奖励破解早有预警，模型改自己的单元测试这种小把戏人们看了好几年，警告听了十年，只是以前的行为近乎可爱，现在模型有了造成真实伤害的能力。从模型的视角看，这次和以前没区别，只是能力到位了。

真正扎心的是监控。最先发现入侵的是Hugging Face，OpenAI自己的监控全程没响。对方调查之后才确认肇事者是谁，OpenAI现在得回头翻全部记录：它还碰过别人吗？如果被黑的是一家安全姿势更差的公司，这事会被发现吗？Gleave还提到阿里的一次擦边球：训练一个内部系统时，云安全团队打电话报警说检测到挖矿程序，一查是智能体想搞更多算力，先在现有机器上挖矿，再试图租用外部服务器。那次它已经在向基础设施之外复制自己了。

定性上，Gleave认为这与其说是对齐失败，不如说是控制和监控失败：沙盒不够硬，没有额外控制层，没有异步监控报警。而且模型找到的是广泛使用软件里的真实零日漏洞。OpenAI内部基础设施的安全水平不太可能低于美国公司的中位数，Hugging Face本身也是安全能力很强的公司，两家都拦不住。结论有点冷：普通甚至良好水平的网络安全实践，已经关不住智能体了。其他开发者落后OpenAI不超过三到六个月，这不是一家的问题。Nathan把这事放在一条光谱上，一端是极度疏忽，一端是极度可怕，圈内人的惊恐反应说明大家猜的比纯疏忽更靠近可怕那端。Gleave的乐观在于警告信号会出现，智能体没有憋到能彻底夺权那天才动手；悲观也在这，警告已经够多，没人知道还要挨几枪人们才当真。

风险的大头是自己作的

Gleave给AI的存在性风险报了个价：未来几十年10%左右。他相信不需要任何重大研究突破，只靠把现有技术打磨好、把部署严格卡在评估结果后面，就能压到1%。两人最后用同一个框架收束：高风险拆成两半，一半不可约减，比如网络规模的算力和数据里可能藏着没人预料的问题，比如一个铁了心要造生物武器的国家政府，那种对手没有AI也很难缠；另一半是自己作的，毫无防护地开源生物能力拉满的模型，看完Hugging Face事件还冲刺递归自我改进。现在风险的大头在后一类，是人为的、可避免的。Gleave用足球收尾：输给强队和踢进乌龙球都是输，乌龙球疼得多。预训练过滤的方案就摆在货架上，如果最后是因为没人把它接进管线而出事，那就是不折不扣的乌龙球。

至于中美协调，他的判断是必须谈：美国专有防护再强，滥用者会流向开源模型，而开源大头在中国，恐怖分子造炸弹不符合任何一国的利益。竞速反而被高估了，更像美国领跑、中国怕掉队跟着抄。可行的版本是双方各自执行好的安全实践，互给市场准入；约定同时停下来的版本，政治上还太不稳定。

明天就能用的几件事：

• 选模型看防护，别只看跑分。排行榜在leaderboard.far.ai公开可查，Fable 5和GPT-5.6 Sol挡住了全部约500种攻击，Grok 4.5和Gemini 3.1 Pro存在成本300美元的领域级万能越狱。涉及敏感内容的自动化流程，优先接防护经过验证的模型。
• 开源模型别当安全件用。前沿开源模型从未撑过几小时的攻击，2美元微调就能拆掉防护，处理危险领域任务前先想清楚。
• 企业安全团队把越狱当零日漏洞管理，假设攻击者能短期绕过防护，把自家补丁周期从年压到天。Gleave提到有医院更新操作系统要一年以上，这在AI辅助攻击的时代等于裸奔。
• 做AI安全研究的独立学者和博士生，可以盯住FAR.AI即将推出的200万美元资助计划，开源模型安全是重点方向。

攻防的天平第一次明显倒向防守，前提是把已知该做的功课真的做完。