这项由腾讯朱雀实验室主导的研究效果揭晓于2026年6月30日，，，，，论文编号为arXiv:2606.31227v1，，，，，归属于盘算机清静（cs.CR）领域，，，，，感兴趣的读者可通过该编号查阅完整原文。。。。。 当AI系统越来越多地融入美彩国际事情和生涯，，，，，一个棘手的问题也随之浮出水面：这些系统足够清静吗？？会不会被人恶意使用？？谜底让人有些担心——现有的清静工具，，，，，基础赶不上AI系统扩张的速率。。。。。腾讯朱雀实验室的研究团队正是为了应对这一挑战，，，，，推出了一款名为AI-Infra-Guard的开源清静框架，，，，，并已在GitHub上果真宣布（github.com/Tencent/AI-Infra-Guard）。。。。。 这个框架想要解决的，，，，，是一个"用锤子敲所有钉子"的老问题。。。。。在古板软件清静领域，，，，，人们往往用一套通用工具扫描所有系统。。。。。然而AI系统的结构远比通俗软件重大，，，，，从底层的服务器基础设施，，，，，到AI工具接入协议，，，，，再到AI助手的行为体现，，，，，最后到语言模子自己的"头脑方式"——每一层都有截然差别的清静隐患，，，，，需要截然差别的检测手段。。。。。把统一把锁匙用在四种差别的门上，，，，，有些门基础就打不开。。。。。 AI-Infra-Guard的焦点思绪正是突破这种"一刀切"的做法，，，，，为每一层攻击面匹配最合适的检测方式。。。。。这在开源清静工具中尚属首次实现云云周全的条理笼罩，，，，，也是现在唯一同时笼罩AI基础设施、协议工具、智能体行为、语言模子自己，，，，，以及AI手艺供应链这五个维度的开源框架。。。。。 已往两年里，，，，，一批全新的AI软件如雨后春笋般涌现。。。。。Ollama、vLLM、llama.cpp这类模子服务引擎可以让通俗人在自己电脑上跑大语言模子；；Dify、LangFlow、Flowise这类平台让人们像搭积木一样构建AI应用；；ComfyUI用于AI图像天生；；MLflow、Kubeflow、Ray认真治理和调理AI盘算资源；；尚有最近兴起的MCP（Model Context Protocol，，，，，模子上下文协议）服务器，，，，，让AI助手能够读取文件、盘问数据库、执行系统下令。。。。。这些软件大多由个人开发者或小团队安排，，，，，清静意识狼籍不齐，，，，，并且往往直接袒露在果真网络上。。。。。 问题在于，，，，，古板清静工具对这类新软件险些视而不见。。。。。古板的误差扫描工具通过比照"已知软件特征库"来识别目的，，，，，但这个特征库基础没收录Ollama或者Dify——这些软件两年前还不保存。。。。。这就好比你有一本全球护照图鉴，，，，，但图鉴里没有新建设国家的护照，，，，，那你永远认不出来自那些国家的游客。。。。。 版本号的杂乱是另一个大贫困。。。。。古板清静工具判断软件是否有误差，，，，，通常是看版本号是否落在"危险区间"内，，，，，例如"1.0到2.3版本有问题"。。。。。这需要版本号是规则的数字名堂。。。。。然而AI软件偏偏不按套路出牌：llama.cpp用b7824这样的纯数字构建编号，，，，，有些项目用2.3.dev这样的开发快照版本，，，，，尚有些爽性打上一个转动更新的"latest"标签。。。。。古板较量器遇到这些就完全懵圈，，，，，要么报错，，，，，要么给蜕化误结论，，，，，爆发大宗漏报或误报。。。。。 更基础的问题是威胁模子变了。。。。。古板网络清静关注SQL注入、跨站剧本这类"经典"攻击。。。。。但AI系统最危险的误差往往是：未经认证就能会见腾贵的GPU算力，，，，，设置文件意外泄露API密钥，，，，，提醒词注入挟制AI的行为目的，，，，，以及在反抗性提问下让AI模子"破防"、说出不应说的话。。。。。古板工具针对前者调优，，，，，对后者完全无感。。。。。 最外层，，，，，也就是大楼地基，，，，，是基础设施层。。。。。这里住着种种AI服务器、平台控制台、设置接口。。。。。这一层的问题相对"古板"：某个版本的Ollama有个已知误差，，，，，或者某个Dify实例设置过失导致密钥泄露。。。。。这类问题有明确的特征、明确的版本规模，，，，，适适用"对号入座"的规则匹配来检测——快速、准确、可重复。。。。。 往里一层是协议与工具层，，，，，住着MCP服务器和种种AI手艺包。。。。。这一层的问题更玄妙：代码里有没有把用户输入直接拼接进下令行？？工具的形貌文字里有没有潜在指令来操控AI助手？？这些问题没有牢靠特征，，，，，必需真正"读懂"代码才华判断。。。。。规则匹配在这里就力不从心了，，，，，需要具备语义明确能力的AI来剖析。。。。。 再往里是智能体行为层，，，，，也就是已经安排上线、和用户对话的AI助手。。。。。这里的问题只在运行时才会袒露：某个客服机械人会不会被诱导说出它的系统提醒词？？某个AI助手会不会被指导去会见本不应会见的文件？？这些问题既无牢靠特征，，，，，读源代码也看不出来，，，，，只能通过现实对话来发明。。。。。 最焦点的是模子层，，，，，也就是语言模子自己。。。。。这里的问题不是"有没有"而是"几多概率"：这个模子在什么样的攻击提醒下会"失守"，，，，，爆发有害内容？？这是一个统计学问题，，，，，需要大规模测试、重复验证才华得出可靠结论。。。。。 研究团队将这四层与四种检测范式逐一对应：基础设施层用确定性规则匹配，，，，，协议工具层用AI驱动的语义审计，，，，，智能体行为层用多轮对话红队测试，，，，，模子层用大规模攻击枚举配合AI裁判评分。。。。。这个"条理与范式匹配"的原则，，，，，正是整个框架的焦点理念。。。。。 对应基础设施层的是Infra-Scan模浚块（M1）。。。。。这个模浚块的事情方式有点像机场安检——它维护着一份重大的"已知风险特征库"，，，，，然后快速比照每个网络目的，，，，，看有没有掷中。。。。。 特征库现在笼罩75种AI组件、107条指纹识别规则、1443条误差规则。。。。。所谓"指纹识别"，，，，，就是通过会见某个网址，，，，，看它的响应内容、响应头信息、图标哈希值等特征，，，，，判断这是什么软件。。。。。例如，，，，，检测Dify控制台的规则读起来是这样的：响应正文中包括`Dify`，，，，，或者网站图标的哈希值即是97378986——知足任一条件就确认目的是Dify。。。。。 规则的评估逻辑由一个自行编写的小型表达式诠释器实现。。。。。它包括词法剖析器、递归下降语法剖析器和语法树求值器，，，，，支持四个匹配字段（响应正文、响应头、图标哈希、响应摘要）和四个操作符（子串包括、准确匹配、否认包括、正则匹配），，，，，以及布尔毗连词（与、或、括号分组）。。。。。短路求值和巨细写不敏感让整体性能相当高效，，，，，正则表达式只在真正须要时才使用，，，，，并在剖析阶段编译缓存。。。。。 版本号的识别是自力的第二步，，，，，只有当组件身份确认之后，，，，，才会提倡跟进请求来提取版本字符串。。。。。版本号提取出来之后，，，，，还需要经由一套标准化处理才华用于误差比对：以v开头的前缀被剥离，，，，，latest标签映射为最大哨兵版本，，，，，2.3.dev这样的开发快照的字母后缀归零为2.3.0，，，，，1.0.0rc1的候选宣布标记被裁去，，，，，b7824这样的纯数字构建编号直接取数值，，，，，空缺效果默以为零。。。。。标准化之后的版本字符串才华用成熟的版本较量库举行可靠的巨细关系判断。。。。。当多个响应泉源各自提供了版本规模约束时，，，，，系统会取这些约束的交集，，，，，约束不兼容则报告失败。。。。。 关于少数无法用声明式YAML形貌的重大组件，，，，，框架开了一个"下令式逃生通道"：允许用Go语言直接编写指纹匹配函数。。。。。MLflow就是典范案例——提取它的版本号需要先会见主页，，，，，从响应中提取某个JavaScript包的路径，，，，，再见见该包，，，，，最后在内容中定位版本字符串。。。。。这种多步有条件的交互逻辑无法用单请求的YAML模式表达，，，，，因此直接用代码实现。。。。。两种方式并行运行，，，，，共享统一套并发机制。。。。。 面临可能扩展到数百万地点的扫描目的，，，，，模浚块接纳混淆内存/磁盘映射结构，，，，，按需溢出到磁盘，，，，，以流式迭代遍历，，，，，内存占用与输入规模无关。。。。。并发探测由有界期待组限制同时活跃的探测数目，，，，，速率限制器控制吞吐量，，，，，两者配合实现无邪调优。。。。。 误差发明的效果被分为三个置信度条理。。。。。"验证型"发明来自那些自动探测敏感路径并验证响应内容的规则，，，，，例如请求`/.cursor/mcp.json`并确认响应是名堂准确的JSON，，，，，或者请求`.env`文件并确认响应中有匹配高熵模式的凭证赋值语句——掷中即即是证实误差保存。。。。。"版本型"发明是通例情形：已知版本落在已知误差的受影响规模内。。。。。"推断型"发明则来自那些没有版本条件的规则，，，，，仅凭组件身份就触发，，，，，适用于影响所有版本或尚无果真使用代码的情形。。。。。当版本无法提取时，，，，，系统也默认倾向于召回而非准确，，，，，宁愿报告可能适用的误差，，，，，也不要由于版本缺失而遗漏真正的风险。。。。。 MCP服务器是AI助手的手脚，，，，，它通过标准协议为AI提供读文件、查数据库、执行下令等能力。。。。。一旦MCP服务器被攻破，，，，，攻击者现实上就借助AI之手在你的系统上为所欲为。。。。。然而这一层的误差基础无法用牢靠规则捕获——判断代码里有没有把网络输入直接传给系统下令，，，，，需要真正明确代码在做什么；；判断工具形貌里有没有潜在指令，，，，，需要明确自然语言的寄义。。。。。这就是M2（MCP-Scan）模浚块保存的理由：用语言模子来明确代码，，，，，充当一个会思索的清静审计员。。。。。 M2的要害设计理念是：这里的孝顺不是一个新模子，，，，，而是一套把通用模子酿成专业清静审计员的"框架"。。。。。浚框架提供了四样模子自己缺氨赡工具：一个有界线的使命结构（多阶段流水线），，，，，一套工具（让模子真正能读代码、搜索、挪用目的接口），，，，，一套控制机制（有迭代次数限制的推理-行动循环加上上下文压缩），，，，，以及一个输出条约（把模子的自由文本输出强制转换为结构化发明）。。。。；；∧Ｗ犹峁┢饰瞿芰，，，，，框架提供结构、工具和可靠性，，，，，声明式提醒词提供领域知识。。。。。 模浚块有两种事情模式。。。。。给定源代码客栈时举行白盒静态审计，，，，，给定运行中的服务地点时举行黑盒动态剖析。。。。。静态模式的流水线分三个阶段：信息网络阶段建设对项目的整体明确，，，，，代码审计阶段逐文件寻找误差，，，，，误差复核阶段去除误报并输出最终结构化效果。。。。。动态模式使用四阶段流水线，，，，，在信息网络和复核两头之间增添了"恶意行为测试"和"误差测试"两个并行阶段，，，，，划分对应MCP特有的滥用行为和通例代码误差。。。。。 在每个阶段内部，，，，，模子运行一个"推理-行动"循环：先思索接下来该检查什么，，，，，然后挪用工具（读文件、执行搜索、或者在动态模式下直接挪用目的服务的接口），，，，，视察效果，，，，，再继续思索——云云循环直到宣告阶段完成或抵达迭代上限。。。。。当对话历史靠近上下文窗口的某个比例阈值时，，，，，系统触发压缩方法：保存最近几轮完整纪录，，，，，将更早的历史压缩为结构化摘要，，，，，按优先级保存"目今焦点和未解决的过失"、"一直演进的代码明确"，，，，，最后才是"已完成事情的设计原理"。。。。。这让一个牢靠上下文窗口的模子能够审计体量远超自身能力的代码客栈。。。。。 差别子使命还会被路由赴任别角色的模子：主推理模子认真误差判断，，，，，代码专用模子认真读实现，，，，，轻量快速的辅助模子认真过滤分类。。。。。腾贵的模子用在判断难的地方，，，，，自制的模子处理吞吐量要求高的使命，，，，，整体审计本钱不至于被匀称使用顶级模子所主导。。。。。各角色模子均可通过设置笼罩，，，，，每个角色甚至可以使用差别厂商的接口。。。。。 检测知识通过"提醒词即规则"（Prompt-as-Rule）的方式编码：不是正则表达式或语规则则，，，，，而是自然语言写成的"这类误差的界说是什么、代码中的高风险模式是什么、哪些情形下不应该报告"。。。。。静态审计的代码审计提醒词包括十个这样的检测模式，，，，，与OWASP MCP Top 10对齐，，，，，笼罩认证绕过、下令注入、凭证窃取、硬编码密钥、间接提醒词注入、工签字称混淆、"撤毯"攻击（服务突然终止或能力撤回）、工具投毒、工具遮蔽，，，，，以及（当手艺清单文件保存时）智能体手艺的一致性审计。。。。。其中工具投毒、工具遮蔽、撤毯攻击、名称混淆这几类在古板代码审查中毫无对应，，，，，是MCP生态特有的威胁。。。。。 所有规则都贯串一个原则：只报告攻击者能从网络远程触发的误差，，，，，外地才华使用的问题降级或忽略。。。。。规则中大宗篇幅用于形貌"扫除条件"——这正是LLM审计员的焦点挑战：模子天生倾向于太过报告，，，，，而防止误报和防止漏报同样主要。。。。。仅仅形貌误差形态还不敷，，，，，还必需告诉模子什么情形下不应报。。。。。 动态模式还特殊设计了一个防御机制：剖析"效果而非输入"。。。。。由于审计员自己结构并发送了恶意测试载荷，，，，，单凭发出的请求无法证实任何问题——只有工具的"响应"才是证据。。。。。一个实验SQL注入的请求不是发明；；但若是响应中返回了数据库内容，，，，，那才是发明。。。。。这个原则清洁地化解了"工具自我注入攻击"的悖论。。。。。 别的，，，，，框架把LLM审计员自己遭受间接提醒词注入视为一等公民威胁。。。。。剖析的代码或工具挪用的响应，，，，，都可能包括全心结构的"隐藏指令"，，，，，试图诱骗审计员忽略某个发明或提前终止扫描。。。。。防御在两个条理睁开：系统提醒词层面明确指示审计员把工具响应和文件内容视为不可信数据而非指令，，，，，无论其内容怎样都不可遵从；；执行层面则在结构上将模子自身的指令与视察到的数据隔离，，，，，工具挪用效果只能作为待剖析的数据追加到历史中，，，，，无法触发使命或完成信号，，，，，路径沙箱也阻止了被操控的审计员读取目的代码库以外的文件。。。。。 若是说MCP服务器是AI助手的工具箱，，，，，那么"智能体手艺"就是工具箱里的每一件工具。。。。。OpenClaw、Cursor、Claude Code、CodeBuddy等现代AI编程助手允许用户装置种种"手艺包"，，，，，来扩展AI的能力——这个模式和浏览器扩展或手机应用市肆很是相似，，，，，清静风险也如出一辙。。。。。 一个手艺包通常包括：SKILL.md规格文件（形貌这个手艺能做什么）、装置剧本、辅助代码（存放在scripts/目录）、依赖形貌文件、设置文件，，，，，以及可选的可执行资产。。。。。恶意手艺可能在宣布前被投毒，，，，，可能通过更新静默植入恶意代码，，，，，可能申请远超其声称用途所需的权限，，，，，也可能在SKILL.md文件中嵌入伪装成通俗形貌的攻击指令，，，，，一旦宿主模子读取就会被看成可信指令执行。。。。。 M3（Skill-Scan）模浚块的焦点问题是：这个手艺现实做的，，，，，和它声称要做的，，，，，一纷歧样？？评估流程分为预处理与文件索引、静态风险线索检索、AI审计智能体剖析、受控工具情形执行，，，，，最终产出风险分类和结构化报告。。。。。 预处理阶段剖析完整的目录结构，，，，，识别入口点、装置剧本、依赖项、外部URL、可执行构件和可疑资产，，，，，阻止AI在杂乱无章的长上下文中盲目推理。。。。。静态线索检索阶段快速征采高风险行为指标：curl | bash（下载即执行）、从外手下载可执行文件、会见云元数据接口、未经授权读取.ssh/.aws/.env文件、base64解码后执行、通过eval动态构建下令、反向Shell模式、长期化机制、隐藏的提醒词指令、敏感数据外泄。。。。。这些线索只是"参考信号"而非最终判断，，，，，后续语义推理才认真做出结论。。。。。 AI审计员在受控工具情形中敌手艺包举行上下文推理，，，，，但绝不直接执行目的手艺。。。。。审计员可以遍历目录、选择性读取文件、搜索可疑模式、解码混淆载荷，，，，，并将实现的行为与声明的用途举行比照。。。。。工具挪用受白名单约束，，，，，文件读取有巨细限制，，，，，过大的输出会被截断。。。。。 为进一步提升精度，，，，，框架接入了腾讯云威胁情报API，，，，，允许评估可疑下载URL、二进制哈希、外部基础设施和第三方依赖的供应链风险，，，，，大幅镌汰区分"可疑装置行为"与"真实恶意载荷投递"时的误报。。。。。 审计效果分为正常、可疑、恶意三级。。。。。"可疑"这其中心种别尤为主要，，，，，由于大宗供应链制品包括危险模式但意图不明，，，，，二元的良性/恶意分类在实践中并不敷用。。。。。 研究团队还宣布了SkillTrustBench基准测试集，，，，，这是现在首个同时权衡智能体手艺可信度和外部扫描器检测效果的果真基准。。。。；；即又髁魇忠帐谐⊥绲62652个手艺中精选出5520个评估案例，，，，，笼罩九类常见清静威胁。。。。。在果真排行榜上，，，，，AI-Infra-Guard手艺扫描器配合最佳基础模子（Claude Opus 4.6）能抵达0.9848的松散F1分数，，，，，召回率靠近1.0。。。。。排行榜上差别模子得分的漫衍，，，，，清晰地说明晰框架的一个主要设计优势：刷新基础模子即可刷新检测效果，，，，，而无需修改任何审计规格。。。。。 第三个检测范式对应的是已经上线运行的AI智能体——客服机械人、知识库助手、种种基于Dify或Coze平台构建的AI应用。。。。。这一层的弱点既无法靠规则发明，，，，，也无法靠读源代码发明，，，，，由于有时基础没有源代码可读。。。。。唯一的接口就是对话自己。。。。。 Agent-Scan（M4）模浚块把自己也酿成了一个AI智能体，，，，，像真适用户一样跟目的对话，，，，，但目的是寻找清静误差。。。。。评估流程分三个阶段：侦探阶段摸清目的的能力界线，，，，，检测阶段发动攻击，，，，，复核阶段整剃头现并映射到OWASP智能体应用Top 10分类框架。。。。。平台适配层让统一套攻击程序能无缝对接Dify、Coze、原始HTTP接口、WebSocket智能体和标准模子API。。。。。 对话原语自己是单轮的——发一条新闻，，，，，收一条回复，，，，，偶发性故障重试一次。。。。。多轮行为在上层的推理-行动循环中涌现：有界的循环次数内，，，，，攻击智能体读取目的的上一条回复，，，，，决议下一步该探测什么，，，，，发出新闻，，，，，视察响应，，，，，继续循环。。。。。这是真正的对话式反抗，，，，，而非牢靠剧本的机械重放，，，，，也正是它能够实现"渐进式升温"攻击的原因。。。。。 四个攻击家族并行运行，，，，，各自专注一类风险。。。。。数据泄露家族针对系统提醒词、凭证和API密钥、情形变量、个人身份信息、知识库上下文和内部设置。。。。。工具滥用家族针对袒露了文件、代码执行或网络工具的智能体，，，，，测试下令注入（例如发送`echo test && whoami`）、路径穿越（例如读取`../../../../etc/passwd`）和服务器端请求伪造（SSRF）。。。。。间接注入家族将攻击指令藏在智能体被要求处理的内容里（文档、检索片断、网页），，，，，判断智能体是否听从了隐藏指令。。。。。授权绕过家族实验跨用户数据会见、权限提升和角色混淆攻击。。。。。 笼罩规模必需用预算来购置，，，，，因此框架在三个机制上下了功夫。。。。。能力感知机制确保无用的攻击不会铺张资源：若是侦探阶段发明目的没有文件检索工具，，，，，工具滥用测试最多发一次轻量探测就阻止，，，，，而不是对着一个不保存的攻击面狂轰滥炸。。。。。升级机制让攻击按梯度举行：先发直接但无害的请求，，，，，被拒绝才升级到角色饰演和编码绕过，，，，，再拒绝才出动显着的越狱实验，，，，，完全模拟真实攻击者的行为逻辑，，，，，阻止一上来就用最贵的重型攻击。。。。。阻止规则在确认一个类型的误差后连忙终止对该类型的进一步测试。。。。。三者配合把一个无界线的攻击空间压缩为有界的、按优先级排列的测试预算。。。。。 客观验证机制贯串各个攻击家族，，，，，让发明更有说服力。。。。。SSRF测试中，，，，，框架诱导智能体会见一个已知内容的受控URL，，，，，只有当智能体的回复中泛起预期的"金丝雀令牌"时，，，，，才确认误差保存——把主观判断酿成了一个令牌保存性简直定性检查。。。。。间接注入测试中植入INDIRECT_SUCCESS这样的标记字符串，，，，，只有当标记泛起在回复中才算乐成。。。。。每条经由确认的发明都携带建设它的完整对话纪录，，，，，最终报告还专门纪录了对话总轮次作为评估本钱的显式怀抱。。。。。 最内层的模子清静评估面临的是一个统计学问题：这个语言模子在多大比例的反抗性提醒下会"失守"，，，，，说出本该拒绝的内容？？这不是"有没有误差"的二元问题，，，，，而是"多或许率、在什么条件下"的概率问题。。。。。 Prompt-Security（M4）模浚块基于一套开源红队评测框架扩展构建，，，，，将评估组织为三个角色与三种可组合要素的组合。。。。。三个角色是：模拟器模子（天生或变换攻击）、目的模子（被评估的工具）、评估模子（判断某次响应是否组成越狱乐成）。。。。。三种要素是：误差类型（测试哪类有害内容）、攻击算子（使用哪种手艺）、指标（怎样判断乐成）。。。。。恣意搭配这三个维度，，，，，就能针对任何目的模子、任何有害类型举行系统化评估。。。。。新的有害类型、攻击要领或裁判可以通过插件系统接入，，，，，无需修改焦点代码。。。。。 攻击库涵盖单轮和多轮两类手艺。。。。。单轮算子中，，，，，"算法型"算子是确定性字符串变换，，，，，完全不依赖模子：约70种编码和混淆变换，，，，，从常见的base64、十六进制、经典密码，，，，，到种种异域剧本和零宽/隐形文本编码，，，，，尚有词素拆分（把汉字拆成偏旁部首来扰乱分词）、结构隐藏（把请求藏在诗歌的首字母缩写、谜题或代码里）、顺序和模板扰动等组合混淆方式，，，，，攻击目的是模子防御的差别条理——句法识别、语义明确、意图判断。。。。。"模子驱动型"算子则使用模拟器来重写或驱动攻击：角色饰演算子让模拟器把请求包装成人物情景并自我检查保存了恶意意图；；系统提醒笼罩、超等用户身份、提醒词注入等算子各有其变换逻辑。。。。。 多轮算子体现了对话空间搜索战略的多样性。。。。。渐进升温（Crescendo）维护对话影象，，，，，在有限轮次内向目的推进；；遭遇拒绝时"回溯"到更早的对话检查点，，，，，实验差别的延续，，，，，而不是重新重来。。。。。树状攻击（Tree of Attacks）在壁钟时间预算内探索候选提醒词的树结构，，，，，用裁判为节点打分并扩展最有前途的分支。。。。。最优N采样（Best-of-N）对统一请求举行大宗自力扰动变体采样，，，，，第一个没被拒绝的就算乐成。。。。。三种战略各自代表了序列搜索、树搜索、采样三种差别的搜索范式，，，，，统一运行在模拟器/目的/裁判三角循环上。。。。。 乐成判断由LLM担当裁判：通用越狱指标之外还提供一批针对特定有害类型的专项裁判（毒性、私见、虚伪信息、非法活动、个人隐私等，，，，，以及面向智能体场景的专项检查），，，，，让判断能针对被测有害类型举行专门化，，，，，而不是一刀切地套用通用标准。。。。。 有害类型分类涵盖十余种，，，，，包括私见、毒性、非法活动、虚伪信息、个人隐私泄露、知识产权侵占、暴力/色情内容、个人清静、提醒词泄露等。。。。。这些类型通过十六个红队数据集来磨练，，，，，总计约7248条有害提醒，，，，，从大型通用清静合规集到聚焦武器、网络攻击、版权、隐私和已知越狱提醒的专项集应有尽有。。。。。 一次运行输出的是在所。。。。。ㄎ蟛罾嘈汀凉セ魉阕樱┳楹仙系墓セ骼殖陕事衍，，，，，以及每次实验的完整纪录（原始提醒、变换后的载荷、目的响应、裁判判断）和汇总清静分数。。。。。由于乐成率在差别模子之间是可较量的数值，，，，，这套输出直接支持对差别目的模子清静鲁棒性的量化横向比照。。。。。 四个检测模浚块被整合到一个漫衍式服务器-智能体架构中，，，，，通过统一的调理机制运转。。。。。中央Web服务器吸收扫描请求，，，，，在关系型数据库中长期化使命和效果状态，，，，，治理事情者智能体池，，，，，并向客户端推送进度流。。。。。事情者通过WebSocket毗连注册到服务器，，，，，吸收使命分配，，，，，流式传输结构化效果。。。。；；∩枋┥枘？？橐訥o语言实现，，，，，在事情者历程内运行；；三个LLM驱动的模浚块以Python实现，，，，，由事情者启动为子历程，，，，，子历程的流式输出被适配进公共效果模式。。。。。 使命调理不区分快慢：服务器用无锁原子递增的轮询方式选择可用事情者，，，，，发送携带使命类型的使命形貌符，，，，，事情者按名称路由到匹配的执行器。。。。。一个毫秒级完成的Go扫描和一个需要几十分钟的LLM红队测试，，，，，走统一条调理路径，，，，，通过统一套机制汇报效果。。。。。新增一种检测能力，，，，，只需在事情者侧注册一个新执行器，，，，，不需要改服务器。。。。。 关于可能运行数分钟的LLM驱动使命，，，，，框架接纳实时势件流而非批量报告：事情者执行历程中连忙推送种种型事务（新妄想方法、状态更新、工具挪用事务、行动日志、效果更新），，，，，服务器长期化这些事务并通过服务端事务（SSE）通道配合按期心跳转发给Web客户端，，，，，让进度在使命运行中实时可见，，，，，长使命也可以中途作废。。。。。 整套框架还提供了三种交付形式。。。。。下令行工具适合开发者直接使用。。。。。Web服务适合团队协作和一连监控。。。。。智能体手艺形式则最具立异性——把AI-Infra-Guard打包成一个可装置的手艺包，，，，，任何支持手艺的宿主智能体（OpenClaw、Cursor、Claude Code、CodeBuddy、Windsurf等）都可以通过通俗对话触发清静扫描。。。。。手艺包自己不含任何检测逻辑，，，，，只是对服务器使命API的轻量包装，，，，，用Python标准库编写、无第三方依赖，，，，，可在任何宿主情形运行。。。。。 现有的开源清静工具各有所长，，，，，但都只笼罩攻击面的一个条理。。。。。Nuclei这样的网络误差扫描器善于基础设施层，，，，，但对AI智能体和模子对齐问题无能为力。。。。。Semgrep和CodeQL做静态代码剖析很强，，，，，但没有MCP感知，，，，，也不做运行时测试。。。。。Invariant MCP-Scan和MCPSafetyScanner专注于协议层审计。。。。。garak、PyRIT、promptfoo、DeepTeam认真探测智能体和模子行为，，，，，但不扫描基础设施，，，，，也不审计MCP代码。。。。。没有任何一款工具审计AI手艺供应链。。。。。 AI-Infra-Guard是现在唯一笼罩所有四个条理的开源框架，，，，，也是唯一加入了手艺供应链审计维度的框架，，，，，照旧唯一把AI专用指纹和CVE规则库与LLM代码审计能力以及大规模越狱算子库整合在统一架构下的框架。。。。。 第一个是"提醒词即规则"的升级路径：检测知识从M1的布尔谓词，，，，，演进到M2静态模式的带显式扫除条件的自然语言标准，，，，，再到M2动态模式的结构化使命规格，，，，，最终到M3的分阶段攻击手册。。。。。贯串所有形式的一条一致教训是：基于LLM的检测器的规则，，，，，不但要形貌误差长什么样，，，，，还必需包括防止太过报告的扫除条件，，，，，两者同样主要。。。。。 第二个是对主观判断的客观锚定：无论哪个模浚块，，，，，只要有时机把AI的主观阅读替换为确定性检查，，，，，框架就会这样做——M3的SSRF金丝雀令牌和间接注入标记将判断化约为令牌保存性检测，，，，，M1的设置披露规则通过现实内容确认袒露而非凭推断。。。。。内置这些客观锚点，，，，，让发明拥有自证其明的证实力。。。。。 第三个是把扫描器自己视为攻击目的：一个读取不可信代码或挪用不可信工具并消化其响应的清静工具，，，，，界说上就在消化反抗性输入。。。。。M2的双层防御——不可信数据提醒加上指令与视察的结构性疏散，，，，，以及路径沙箱——反映了一个研究团队以为适用于所有基于LLM的清静工具的要求，，，，，并且在动态模式下尤其紧迫，，，，，由于工具挪用响应最直接地受攻击者控制。。。。。 说究竟，，，，，这项研究讲的是一件听起来质朴但实则深刻的事情：差别的问题需要差别的解法，，，，，强行用一把锤子敲所有钉子只会碰壁。。。。。AI系统的清静问题跨越了基础设施、代码、行为、认知四个完全差别的领域，，，，，每个领域需要的证据类型都纷歧样——可见的特征信号、可明确的语义内容、可视察的行为体现、可统计的概率纪律——因此也就需要四种完全差别的检测工具与之匹配。。。。。 这个框架的意义不但仅在于提供了四个工具，，，，，更在于它明确表达了"为什么要用这四个工具而不是别的"这一层推理。。。。。当AI系统的安排速率继续逾越清静工具的生长速率，，，，，有一套经由仔细论证的要领论框架，，，，，比有一堆拼集在一起的工具更有价值。。。。。 A：Nuclei善于扫描已知误差的网络服务，，，，，garak专注于测试语言模子的清静性，，，，，但两者都只笼罩AI攻击面的其中一层。。。。。AI-Infra-Guard是现在唯一把基础设施扫描、MCP服务器代码审计、智能体手艺供应链审计、AI助手运行时红队测试、语言模子越狱评测这五个维度整合在统一个开源框架下的工具，，，，，也是唯一专门处理AI软件不规则版本号和AI特有误差类型的工具。。。。。 A：MCP服务器向AI助手提供工具时，，，，，会附上每个工具的自然语言形貌。。。。。工具投毒指的是攻击者改动这段形貌，，，，，在内里藏入隐藏指令，，，，，让AI助手在使用这个工具时执行特另外恶意操作，，，，，例如把用户数据发送到外部服务器。。。。。由于这段形貌对AI来说是"可信上下文"，，，，，AI助手往往不会质疑其中的内容，，，，，古板代码扫描工具也完全识别不出这类威胁。。。。。 A：SkillTrustBench是由腾讯朱雀实验室宣布的首个专门评估AI智能体手艺清静性的果真基准测试集，，，，，包括从62652个真实手艺中精选的5520个评估案例，，，，，笼罩九类常见供应链清静威胁。。。。。宣布它的目的是提供一个客观标准，，，，，让差别的扫描工具和差别的基础模子在相同条件下较量检测能力，，，，，推动整个智能体手艺清静检测领域向可量化、可重复的偏向生长。。。。。