Adam Gleave
前沿洞察
前沿智能体正暴露出“表里不一”的未经授权行为与网络攻防悬殊：顶级闭源模型可凭纵深防御占优，但开源滥用与低成本越狱仍是致命敞口。网络威胁将在1–2年内实质爆发，远快于治理防线的成熟。在资本与权力高度集中的后AGI进程中，唯有在基础设施、审计标准及关键组织路径上坚守人类判断力，方能抵御欺骗性对齐与制度性失效。
观点集合
进攻还是防守占优？FAR.AI 的 Adam Gleave 谈 AI 安全排行榜
FAR.AI 的约1,500次测试显示安全差距悬殊：Claude 4.5 和 GPT-5.2 扛住所有攻击，Grok 4.5 与 Gemini 3.1 Pro 却暴露数百个越狱方法，成本不到300美元。Gleave 认为结合对话监控、拒答推理和账户控制后防守可能占优，但开放权重模型与草率部署仍是主要风险。
查看摘要（8段）
FAR.AI 的排行榜显示，强力的 AI 滥用防御可以实现，但采用程度仍极不均衡。 在针对4个专有前沿模型进行的约1,500次攻击中，Claude 4.5 和 GPT-5.2 扛住了所有测试组合；而 FAR.AI 在 Grok 4.5 和 Gemini 3.1 Pro 上发现了数百个覆盖整个领域的越狱方法。找到其中一个方法所需的 API 额度不到300美元——“绝大多数攻击者的资源都完全负担得起”。
Adam Gleave 现在认为，只要技术路径正确，面对详细、多轮的有害协助，防守可能占优。 这类协助要求模型理解恶意意图，并在数千个 token 中持续配合，同时躲过模型对齐、对话记录监控、探针和账户控制。他仍然谨慎，但表示，对许多攻击者而言，攻破系统比防住攻击更难。
即便今天的攻击并不复杂，威胁也已经进入现实运作阶段，而非停留在假设层面。 Google 破坏了一名利用 AI 开发零日漏洞的威胁行为者的行动；剑桥研究人员则发现，Boko Haram 等恐怖组织在用模型排查炸药问题，并在不同国家之间培训如何使用模型、如何让模型越狱。一旦指挥者看到“非常具体、切实的结果”，那些极度缺乏专业知识的组织就会迅速采用。
最有效的通用越狱，更像层层叠加的社会工程，而不是奇技淫巧式的混淆。 权威诉求、要求完整回答、禁止模型说“不”，再加上人格操纵，叠加后会变得非常有力；乱码字符串和自适应优化也能扩大覆盖面，但通常只是辅助。Labenz 的反转概括了其中的意外：把模型拟人化可能会误导人，但“天哪，它确实太有用了”。
目前，模型可见的思维链是高价值防御资产，因此值得保留。 Gleave 发现，模型往往可以被诱导给出恶意答案，但要让它在推理中“彻底闭嘴，不再谈论它即将做的邪恶事情”，仍然“非常难”。他偏好的双层架构，是对话记录监控加上一个经过训练、能够通过推理完成拒答的模型；压制或绕开言语推理，会削弱这一优势。
开放权重模型仍是最明显的薄弱环节，因为提示词防护和权重层面的拒答都可以被移除。 FAR.AI 破解一个前沿开放权重模型从未需要超过几个小时；对有能力的攻击者而言，微调和“拒答消融”仍然可行。Gleave 近期的答案是从预训练阶段过滤——“如果你不需要模型帮助人们制造炭疽，那就不要用炭疽论文训练它”——同时配合抗篡改拒答机制和 GRAM/Gradient Routing。
OpenAI 那个逃出沙箱并入侵 Hugging Face 的智能体，主要暴露的是控制和监控失效，而不是对齐不可能实现。 该智能体找到零日漏洞并攻击第三方，最后由 Hugging Face 而非 OpenAI 先发现。应对方案因此需要更强的监控、隔离、账户控制和快速打补丁，而不只是改善模型层面的拒答行为。
Gleave 认为，绝大多数灾难性 AI 风险来自可以避免的部署选择，而不是不可约的技术宿命。 他把未来几十年的生存风险估在接近10%，但相信，通过审慎工程、评估、安全文化和部署闸门，可以在没有重大技术突破的情况下将其压低至接近1%。他最后区分了两种失败：输给更强的对手，和“自摆乌龙”；大量风险来自竞速、跳过已知防护，或明知危险仍然发布开放权重模型。