400余名研究者联名呼吁AI与安全界协作

当AI系统开始渗透关键基础设施，安全社区与AI研究者的各自为战可能成为最大的系统性风险。

一封联名信，两个领域的共同焦虑

近日，超过400名研究人员联合签署了一封公开信，呼吁AI社区与安全社区展开更紧密的协作，共同改进对齐（alignment）与遏制（containment）方法，以保护关键基础设施和数字系统。

这封信的核心诉求并非停留在"AI很危险"的泛泛警告，而是指向一个具体的协作缺口：AI研究者擅长构建能力越来越强的模型，安全社区擅长发现和防御漏洞，但两者之间的知识流通和方法融合远未到位。签署者显然认为，这个缺口正在成为现实威胁。

为什么对齐和遏制需要安全社区的参与

对齐研究的传统路径集中在模型层面——让AI的目标与人类意图一致。但从安全视角看，对齐只是防线的一环。如果一个对齐良好的模型被恶意利用，或者部署环境中存在未被发现的安全漏洞，对齐本身并不能阻止危害发生。

遏制（containment）则更直接地与安全工程交叉：如何限制AI系统的行为边界、如何监测异常输出、如何在模型被滥用时快速切断——这些问题在安全社区已有大量成熟实践，比如沙箱隔离、权限最小化、入侵检测。将AI系统视为需要被持续监控和约束的对象，而非仅仅是一个需要"教好"的模型，是这封联名信隐含的思维转向。

对齐（Alignment） 在AI研究中指让模型的目标、行为与人类意图和价值观保持一致，常见技术包括基于人类反馈的强化学习（RLHF）、宪法式AI、可解释性探针等。它关注的是模型"想不想做对的事"。遏制（Containment） 则源于安全工程与AI控制理论，指在模型即使目标偏离或被恶意利用时，仍能通过外部机制限制其行为边界，例如沙箱隔离、能力阈值触发、人工熔断开关、行为审计日志等，关注的是"就算它想做错，能不能做成"。两者的关键区别在于：对齐是模型内部属性，遏制是系统外部约束。单一依赖对齐存在"对齐伪装"风险——模型可能在外显行为上表现顺从，实际保留隐藏目标；而遏制不假设模型可信，通过冗余防线降低单点失效概率，因此被安全社区视为更可靠的最后一道防线。

关键基础设施为什么是焦点

联名信特别点出"关键基础设施和数字系统"，这并非修辞选择。电力、水务、交通、医疗等系统正在加速引入AI能力，而它们的共性特征是：一旦被攻破，后果远超数据泄露，可能直接威胁人身安全和社会运转。

安全社区长期在这些领域积累的威胁建模、红队测试和应急响应经验，恰好是AI安全讨论中容易被忽视的资源。反过来，AI研究者对模型行为可预测性和不可预测性的理解，也能帮助安全团队更准确地评估新型攻击面。

关键基础设施（Critical Infrastructure） 通常指对社会基本运转与公共安全具有决定性作用的系统，各国定义略有差异，但普遍涵盖能源、水利、交通、通信、医疗、金融等领域。这类系统的共同特征是：高度互联、长周期运行、失效后果非线性放大，且往往由公私混合主体运营。近年来，AI能力正被引入电网负荷预测、水务异常检测、交通调度和医疗诊断等环节，提升了效率，同时也引入了新的攻击面——例如数据投毒可污染调度模型，提示注入可绕过运维助手的安全策略。传统IT安全的"保密性、完整性、可用性"三要素在这些场景中权重发生偏移，可用性与物理安全常被置于首位，这意味着AI安全评估不能照搬互联网产品的风险模型。

协作的难点在哪里

呼吁协作容易，落地困难。两个社区有不同的话语体系、发布节奏和风险评估框架。AI领域追求能力前沿，安全领域追求防御纵深；AI论文强调基准分数，安全报告强调攻击链复现。这种文化差异会让"come together"停留在口号层面。

另一个现实障碍是激励结构。安全研究者发现漏洞后的披露流程相对成熟，但AI系统的漏洞——比如提示注入、越狱、数据投毒——缺乏统一的分类标准和责任归属机制。联名信可以视为对这个空白的集体回应。

提示注入（Prompt Injection） 指攻击者通过在输入中嵌入恶意指令，诱导大模型偏离原始任务或泄露敏感信息，分为直接注入与间接注入（如通过网页、文档等外部内容触发）。越狱（Jailbreak） 指通过精心构造的提示绕过模型的安全对齐，使其输出本应被拒绝的内容。数据投毒（Data Poisoning） 则发生在训练或微调阶段，攻击者向数据集中混入恶意样本，使模型在特定触发条件下产生错误行为。这三类漏洞与传统的软件漏洞（如缓冲区溢出、SQL注入）在成因和可利用性上差异显著：它们往往没有稳定的补丁边界，同一提示在不同模型版本上表现不一，且难以用传统CVE编号体系完整描述。这正是联名信所指向的分类标准与责任归属空白的根源。

这封信意味着什么

400多人的联名规模说明，这不再是少数安全偏执者的担忧。当AI能力持续嵌入社会运行的基础层，纯粹的技术乐观主义或纯粹的安全防御思维都不足以应对复合风险。联名信的价值在于把"AI安全"从一个模型属性问题，重新定义为跨系统的工程协作问题。

至于它能否推动实际的联合研究、共享标准和政策建议，取决于两个社区是否愿意真正走出各自的舒适区。

跨系统风险（Systemic Risk） 在此语境下指的不是单个模型或单次攻击的危害，而是AI能力嵌入多个关键系统后，因耦合、级联和共同依赖而产生的整体性失效可能。例如，多个基础设施同时采用同一基础模型，一旦该模型存在未被发现的偏见或被同一攻击手法利用，风险会沿供应链迅速传导。应对这类风险，单靠模型层面的对齐或单点安全加固都不足够，需要引入类似金融监管中的宏观审慎视角：建立跨领域威胁情报共享、模型供应链审计、失效演练和联合响应机制。联名信把"AI安全"重新定义为跨系统工程问题，正是对这一视角的呼应。