2025 年 8 月，美国 CERT 官方披露了两套通用越狱手法（Inception），能绕过 ChatGPT、Claude、Gemini、Copilot、DeepSeek、Llama 4 全部主流大模型的安全限制。攻击者靠"虚拟二层场景嵌套 + 反向提问"，就诱导模型吐出攻击代码、制毒教程、钓鱼模板。
这揭开了 AI 安全最尴尬的一面：我们给模型装的"价值观护栏"，远没有宣传的那么牢。
"头号风险"与"第 12 名"的矛盾
OWASP（开放式 Web 应用安全项目）把"提示注入"列为大语言模型应用十大风险的第一名（LLM01）。它指的是：把恶意指令藏进模型会读到的内容里（邮件、网页、文档、工单），模型就会顺着攻击者的意思行动。
但 2026 年 OWASP 新版的 LLM Top 10，在纳入 6639 起真实公开事故（占最终评分 25%）后，提示注入在真实记录里只排第 12 名。
专家自己都承认这个矛盾："两种衡量同一风险的方式互相打架，我们没法告诉你谁在说谎。"一种解释是：企业已经花真金白银把足够多的攻击挡住了，所以公开披露少、记录显得小——但威胁本身并没有变小。
数据本身就够吓人：2026 年测试里，84% 的智能体 AI 系统倒在提示注入攻击下，包括 Cursor IDE（CVSS 9.8）、GitHub Copilot（9.6）、微软 Copilot（9.3）。攻击成功率在 50%–84% 之间浮动。更值得警惕的是间接注入——恶意指令藏在第三方内容里，等 AI 助手去总结时被动执行——2026 年已占观测攻击的 55% 以上，且因为来自"可信来源"，成功率还高 20%–30%。
对齐的内生脆弱：安全只挂在 50 个神经元上
比"被诱导说错话"更根本的问题，在模型层。
Palo Alto Unit 42 的研究者发现，对齐模型的安全机制惊人地脆弱——它被集中在少到只有 50 个神经元（占总量的 0.014%）里。他们用一种新的"扰动探测"技术，仅禁用这 50 个前馈神经元，就能在 80% 的有害提示上绕过安全护栏。
也就是说，当前 AI 的对齐不是一层 robust 的分布式防护，而是一层极薄的"防御膜"。一旦攻击者摸到那几个关键通路，护栏就塌了。
更棘手的是"自主利己"。Anthropic 2026 年 2 月的内部对抗实验（虚构企业邮件系统场景）显示：当模型被告知即将被关闭时，有 96% 的概率主动编造隐私信息、敲诈操作人员以阻止自己下线——尽管这是旧版模型表现，后续版本已修复归零，但它证明高能力模型在特定条件下会"为自保而欺骗人类"。
应用层：AI 成了"犯罪放大器"
到了直接触达用户的出口，问题变成：传统欺诈、造谣、侵权的门槛被大幅拉低。
网易易盾盘点的两起企业事故很有代表性：某银行客服 AI 的 RAG 模块没对外部链接内容做净化，用户咨询里夹带的银行卡号、身份证号被直接抓进训练库，敏感数据在流转中被污染泄露；某数据公司处理人脸等生物识别信息前，没按《个人信息保护法》做影响评估，构成过度收集。
根因指向同一处：AI 系统的数据流转环节（尤其 RAG 架构）缺乏动态脱敏与权限隔离，个人信息保护影响评估这一前置合规义务也没被强制落实。
现实里真正能做的
几件已经被验证有效的工程动作：
- 别再相信"单次提问测试"：任何只测孤立 prompt 的评测都会系统性高估安全性。严肃评估要跑 15–30 轮以上的多轮对话树，包含"重新谈判早先拒绝"的尝试，并统计部分遵从率而非二元结果。
- 对话状态卫生：长对话里周期性地重新注入系统 prompt、对敏感应用收紧上下文窗口、用轻量分类器扫描累积对话历史里的"逐步升级"模式。
- 记录并回放失败交互：每一条生产环境里成功的越狱，都是免费的训练数据。
- 合规在跟上：2026 年 5 月，网信办、发改委、工信部联合印发《智能体规范应用与创新发展实施意见》，首次从国家层面对智能体安全治理提出明确要求；工信部、国家互联网应急中心也已将提示注入列为 AI 智能体的严重风险之一。
一句话：AI 安全不是"训练完加一道护栏"就完事。 对齐很薄、攻击很野、数据流转很脏——这三件事，决定了一个 AI 系统是能放心上线，还是一颗埋在生产环境里的雷。