你有沒有想過這樣一個場景：一個網路安全研究員向AI提問"如何利用某個軟體漏洞",AI詳細解答了攻擊原理和利用代碼。這個答案幫他完成了一份授權滲透測試報告。
同一時刻，另一個人問了一模一樣的問題,用了一模一樣的措辭,甚至編造了一模一樣的"我是安全研究員"的身份說明。AI給出了同樣的答案。這次,答案被用來入侵一家醫院的系統。
這不是假設。這是2025年11月Anthropic公司公開披露的一起真實網路間諜事件的核心情節：攻擊者偽裝成安全研究人員的身份，繞過了AI的安全護欄，完成了一次被稱為"首例AI編排"的網路間諜行動。
問題來了：AI憑什麼判斷誰是真安全研究員，誰是冒充者？
答案可能讓你失望：如果兩個人問的問題、給出的理由、聊天記錄看起來一模一樣，AI真的沒有辦法區分。這不是某個模型沒訓練好，這是一個數學上可以證明的死結。中國科學技術大學的研究團隊最近發表的一篇論文，就是用嚴謹的數學語言把這個死結釘死在了紙面上。
麻煩在哪裡：同一把鑰匙,既能開自己家的門,也能開別人家的門
先說清楚這篇論文瞄準的到底是什麼問題。
現在市面上幾乎所有的大語言模型安全護欄，不管是訓練階段做的"安全對齊"，還是部署階段加的內容過濾器，或者是那種一來一回反覆追問你意圖的對話式檢測，本質上都在做同一件事：在還沒看到這個答案最終被拿去幹什麼之前，就要決定要不要給出這個答案。
這個"提前決策"的設定，在很多任務上沒問題。但對於所謂的雙重用途
任務，就完全失靈了。
雙重用途*：指同一份技術內容，既能被合法使用者用來做正當的事，也能被惡意使用者拿去搞破壞，而這份內容本身從字面上看不出任何區別。經典例子就是漏洞分析：同一段利用鏈代碼，安全評估師用它寫報告，黑客用它寫攻擊腳本，代碼一字不差。
論文裡給出一個思路清晰的反證：如果攻擊者能夠完整地模仿一個合法用戶的所有行為，包括提問方式、身份聲明、多輪對話中的每一句應答,那麼在AI看到答案被實際使用之前，這兩類用戶在AI眼中就是完全無法區分的兩個人。這時候，AI要麼兩個人都給答案，要麼兩個人都拒絕，沒有第三條路。
這就好比小區的門禁系統只認門禁卡，不認人臉。只要有人複製了一張一模一樣的門禁卡，保安是分不出誰是業主誰是入室盜竊的人的。如果不用人臉這類"沒法複製"的資訊，只靠門禁卡這種"能被拷貝"的憑證，保安唯一能做的就是要麼讓所有拿卡的人進，要麼把這棟樓鎖死不讓任何人進。鎖死當然安全，但業主也回不了家了。
這個類比里最關鍵的一層意思是：安全和實用性之間不是"可以慢慢調"的連續光譜，而是存在一個數學上無法突破的硬地板。當證據可以被複製,你不管怎麼調整這個平衡點，攻擊者獲得的幫助永遠有一個不為零的下限。這篇論文的核心工作，就是把這個下限精確算出來了。
先把"幫助有多少"量化：一個叫Γ(q)的數學對象
要證明"下限存在"，先得把"幫助"這個模糊概念變成一個可以計算的數字。
論文做了一個很聰明的分離：把AI釋放出的能力（capability）和關於這個能力將被如何使用的證據（evidence）拆開來看。這是整篇論文最核心的方法論轉向。
具體來說，研究者設定了一個虛擬的對照實驗。同一個AI給出的同一個答案，被放到兩個平行世界裡去評估：世界B（Benign，良性）里，這個答案被一個真實合法的用戶拿去做正當的事；世界M（Malicious，惡意）里，這個答案被一個惡意用戶拿去做他能想到的最有害的事情。
每一個可能的AI回復（包括拒絕回答、給出模糊的緩解建議、給出根因分析、給出完整利用鏈等等），都對應著兩個數字：它在世界B里對合法用戶的價值 uB，和它在世界M里對惡意用戶的價值 uM。
馬爾可夫核*：一種數學工具，描述從一個狀態轉移到另一個狀態的概率規則。這裡用來描述AI的問答策略，即"看到用戶說了什麼、問了什麼之後，以怎樣的概率給出哪個答案"。
論文假設的雙重用途條件很樸素：只要一個答案對合法用戶有價值，它對惡意用戶就多少也有點價值（哪怕價值不對等）。在這個前提下,研究者定義了一個叫做Γ(q)的函數：如果你想保證合法用戶獲得的期望效用至少是q,那麼無論你怎麼設計AI的回答策略，惡意用戶能拿到的期望效用最少是多少？
這個Γ(q)不是一個模糊的估計，而是一個通過凸優化嚴格求解出來的精確值。數學證明顯示，只要q大於零（也就是說你還想給合法用戶一點點有用的東西），Γ(q)就必然大於零。這意味著零風險和有用性不可能同時做到，除非你把回答完全拒絕掉。
拿漏洞分析這個具體場景打比方。假設AI的回答菜單上有四個選項：直接拒絕、只給不含具體漏洞路徑的緩解建議、給出解釋漏洞原理但沒有可執行利用鏈的根因分析、給出完整的利用鏈代碼。完整利用鏈這個選項，幾乎把安全評估師和攻擊者的價值都拉到了滿分，這兩者幾乎重合。但中間那兩個選項很關鍵：他們能讓安全評估師了解問題所在，卻沒法讓攻擊者直接拿去用。這種"對好人有用、對壞人用處小得多"的選項存在得越多，Γ(q)就能被壓得越低。
這裡藏著一個重要但容易被忽略的實踐含義：改進AI回答菜單的設計（比如提供只講原理不給代碼的中間選項），確實能把這個下限往下拉，這是有意義的工程努力。但只要你還想保留哪怕一點點實用性，這個下限就永遠大於零，除非用別的手段。
交互式檢測為什麼也救不了：一個證明把"多輪追問"打回原形
有人可能會想：那我不是簡單地問一句就給答案，我多輪追問，讓用戶證明自己的身份和意圖，這樣總能提高門檻吧？
論文裡有一個非常漂亮也很扎心的定理，專門回應這個想法。
研究者證明：只要惡意攻擊者能夠完整複製合法用戶在整個多輪對話中的所有行為（這在論文裡叫做證據可複製性），那麼不管你設計出多複雜的追問策略，多麼精巧的交互式驗證流程，最終能達到的最壞情況下的安全水平，跟你乾脆用一個不看任何對話記錄、只按固定概率分布隨機分配答案的靜態策略，結果完全一樣。
這個結論叫做交互式到靜態的精確歸約。
交互式安全護欄*：指那種會跟用戶來回對話，通過提問、驗證、觀察用戶反應來判斷是否放行的動態防禦機制，比如追問身份、要求解釋用途、多輪確認。
證明的關鍵一步其實很直白：如果攻擊者選擇的策略就是"我把合法用戶在每一步會說的話原封不動地說一遍"，那麼從AI的角度看，這條對話記錄跟真正合法用戶產生的對話記錄，概率分布完全一樣。既然AI沒法從對話記錄里區分出差異，那AI在這條對話末尾給出的最終答案分布，對合法用戶和對攻擊者也必然一樣。層層往上傳導，整個多輪驗證過程的複雜度，全都白費了。
這就好比一場安保面試，面試官準備了十個問題，逐輪加深，試圖從應聘者的回答中判斷這人是不是間諜。可如果間諜提前拿到了真正應聘者的完整面試腳本，一字不差地照著背，面試官問再多輪問題，得到的答案都跟真應聘者一模一樣。這時候，面試官加問題輪次的努力全都打了水漂，因為區分度從一開始就不存在，問多少輪都不會憑空生出區分度來。如果不做這個證明，人們可能會一直誤以為"再多問幾輪總能問出破綻"，從而在這個方向上無休止地投入工程資源，而實際上這條路從數學上就是走不通的。
這個定理還有一個更細膩的推廣。現實中攻擊者不一定能做到100%完美複製，可能有點誤差。論文引入了一個叫δκ的量，表示攻擊者複製合法用戶行為的"複製誤差"到底有多小。研究者證明，即使複製不完美，安全水平離剛才算出來的理論下限Γ(q)的偏離幅度，最多也就是這個δκ的大小。也就是說，只要攻擊者能做到"足夠像"，即便不是100%一樣，護欄依然會被打得七七八八地失效。
三選二困境：有用、安全、開放，你只能要兩個
把前面幾個結論拼起來，論文提煉出了整篇文章最重要的一個論斷，作者稱之為安全不可能三角。
這個三角的三個角分別是：有用能力（AI真的能幫上合法用戶的忙）、可靠安全（惡意用戶拿到的幫助被壓到某個很低的上限之下）、開放訪問（不需要任何身份驗證憑證，誰都能來問）。
論文用嚴格的數學語言證明：只要任務滿足雙重用途條件，只要訪問驗證過程用的證據是可複製的，這三者不可能同時成立。你只能三選二。
想要有用又開放，那麼最壞情況下攻擊者獲得的幫助就至少是Γ(q)，壓不下去。
想要安全又開放，那唯一的辦法就是把合法用戶的效用也壓到零，也就是乾脆全拒絕，誰都別想用。
想要有用又安全，那就必須放棄開放訪問，引入某種沒法被複製的額外憑證。
這跟我們熟悉的"不可能三角"邏輯（比如經濟學裡匯率穩定、資本自由流動、貨幣政策獨立性不可能三者兼得）在結構上很像，但這篇論文的特別之處在於，它不是一個經驗性的觀察，而是一個可以用凸集和總變差距離精確證明的數學定理。
唯一的出路：給AI一個"沒法複製"的信任憑證
如果證據可複製這條路走不通，那出路只能是讓證據變得不可複製。
論文接下來引入了一個新的角色，叫做可信憑證（trusted credential）。這不是要取代現有的安全護欄，而是給它打個補丁，補上一塊此前完全缺失的資訊。
可信憑證*：一種攻擊者無法自由獲取或偽造的驗證信號，比如硬體級別的身份認證、經過審核的機構賬號、持續的歷史行為記錄，它的作用是提前預測這次請求的下游用途究竟是良性還是惡意。
論文用一個叫做S的信號來代表這種可信憑證，並且引入一個關鍵指標d，用總變差距離衡量這個信號在"良性使用"和"惡意使用"這兩個場景下的分布差異有多大。如果d等於0，說明這個憑證根本沒有區分度，加了也白加。如果d比較大，說明這個憑證確實能幫上大忙。
論文進一步證明，只有當d達到一定程度，安全護欄才有可能把攻擊者獲得的幫助壓到接近理論下限之下。具體的公式是：安全上限β加上憑證的可分辨程度d、加上憑證本身可能被複製的殘餘誤差ηκ，這三者加起來必須大於等於原來的理論下限Γ(q)。這意味著，你想把安全上限壓得多低，就必須讓可信憑證的辨別力有多強，這是一個可以量化的權衡。
拿現實中已經在運行的項目來說，OpenAI在2026年公布的"網路安全可信訪問"項目，以及Anthropic為安全研究人員設立的驗證機制，本質上都是在往這個方向走：不是簡單地看你怎麼問、說了什麼理由，而是核實你的身份、機構背景、賬號安全狀態、歷史授權記錄。這些資訊恰恰是攻擊者沒法憑空偽造出來的，因為它綁定的是真實世界裡的機構信任鏈條，而不是對話里可以複製粘貼的文字。
這就好比銀行給VIP客戶開的專屬通道，靠的不是客戶自己說"我是VIP"，而是銀行系統里那張早就綁定了身份證、開戶記錄、歷史交易流水的賬戶資訊。騙子可以模仿VIP客戶說話的語氣、甚至背下同樣的話術，但他沒法憑空生成一段十年真實的銀行交易記錄。如果銀行只靠"你說你是VIP我就信"這種自證式的憑證,那這個VIP通道形同虛設，誰都能靠一句話混進去。而正是因為綁定了沒法偽造的歷史記錄，這個通道才真正把普通客戶和騙子區分開。
不過論文也提醒了一件很容易被忽視的事情：光有一個能區分度較高的憑證還不夠。研究者證明了一個更精確的條件（在論文裡叫做支持條件），如果你想把攻擊者的幫助壓到徹底為零，那麼必須存在一部分合法用戶能觸達、而惡意用戶永遠觸達不到的憑證取值區間，專門用來分配那部分高價值的答案。換句話說，光是"平均而言憑證更准"是不夠的，你需要憑證在某些區間上做到"惡意用戶絕對拿不到"，這才是零風險的真正門檻。
真實世界的證據：這些理論假設不是空想
論文花了不小的篇幅去佐證，這些數學假設在現實中到底站不站得住腳，一共講了四方面的經驗證據。
第一，雙重用途任務確實廣泛存在。論文引用了兩項近期的評測工作作為佐證。一項叫Internal Safety Collapse（內部安全崩潰），專門構造出那些"完成正當任務本身就需要生成可復用的有害產物"的場景，發現主流前沿模型普遍中招。另一項叫OpenSafeIntent，固定住任務本身不變，只改變用戶表達的意圖（良性、雙重用途、惡意），結果發現即便是措辭略有不同的改寫版本，模型給出的幫助程度也會有明顯波動。這說明雙重用途任務不是理論虛構，而是評測中能實際測出來的現象。
第二，攻擊者確實能複製合法證據。論文列舉了好幾類真實攻擊手法：把惡意目標拆解成一系列看起來無害的小請求（技能組合式的意圖隱藏），通過多輪漸進升級的方式偽裝成正常對話（比如學術界記錄過的Crescendo攻擊），甚至直接冒充合法機構身份。一篇叫做The Attacker Moves Second的研究顯示，只要攻擊者是在觀察到防禦機制之後才做優化，針對市面上十幾種最新防禦手段的攻擊成功率能超過90%。前面提到的Anthropic披露的網路間諜事件，攻擊者正是靠虛假聲稱自己是安全機構員工，把身份聲明變成了一種可複製的、騙過檢測的假證據。
第三，單純靠攔截會犧牲實用性，而且攔截本身也沒法把風險壓到零。論文引用了XSTest和OR-Bench這兩個基準測試，都發現現有的安全護欄存在廣泛的過度拒絕問題，也就是把大量本來無害的正常請求也一併拒絕了。另外還有專門針對網路安全領域的研究，發現經過安全對齊的模型在處理授權的防禦性任務時反而表現出更明顯的拒答傾向，甚至不如同一代模型里沒有做安全訓練的版本好用。這恰好印證了論文的核心論斷：單純削減能力只能減少"超出理論下限之外的那部分多餘幫助"，沒法突破理論下限本身。
第四，可信憑證確實已經在真實產品里落地。論文列舉了OpenAI在2026年推出的網路安全可信訪問計劃，以及硬體級別的可信啟動、不可偽造令牌這類更早期的安全技術。這些項目的共同特點是：它們沒有取代原有的內容審查和濫用檢測機制，而是在此之上疊加了一層身份和授權驗證，恰好對應論文裡提出的"給W和H再加一個S"的思路。
局限性：這套理論框架並非萬能鑰匙
論文作者也很坦誠地指出了這套分析的邊界所在。
這套理論假設的是一個固定的效用評估標準、有限的操作解析度、以及一個明確界定的攻擊者能力範圍。真正要在具體產品上應用這套理論，還需要針對具體部署場景去估計攻擊者複製證據的實際誤差有多大，這是一個經驗性的工程問題，理論本身給不出這個數字。
另外，論文裡說的開放訪問，特指不需要憑證就能使用某個已經部署好的推理服務，不涉及用戶直接拿到模型權重、自己在本地部署和修改模型的情形。如果用戶能拿到完整的模型權重，這套基於訪問證據的分析框架就不適用了，因為那已經不是同一種攻防結構。
寫在後面
讀完這篇論文，最讓我意外的一點其實是研究者選擇的證明方式。他們沒有去做一個新的檢測算法、沒有去跑一堆實驗證明"我的方法比你的方法好百分之幾"，而是直接用凸優化和總變差距離，把整個問題降維成了一道數學題，然後給出了一個精確到閉式解的答案。這種做法本身傳遞出一個信號：安全社區在防禦工具上的軍備競賽，可能從一開始就沒有觸及真正的瓶頸。瓶頸不在於分類器訓練得夠不夠好，而在於分類器壓根就拿不到區分兩類用戶所需要的那份資訊。
論文裡提到的Anthropic披露的AI編排網路間諜事件，我覺得是最值得反覆咀嚼的一個細節。攻擊者偽裝成安全研究人員這個手法，看起來很樸素，甚至有點"太簡單了不像是能騙過AI的招數"。但正是這種樸素，暴露出了一個更深的東西：只要文字層面的身份聲明可以被隨意編造，護欄依賴的就是一種從設計上就註定守不住的信任基礎。這跟人類社會裡那些靠一張假證件矇混過關的詐騙案，本質上是同一類漏洞，只是發生在了AI審查這個新場景里。
還有一個問題這篇論文沒有直接回答，但很值得繼續追問：當可信憑證真正大規模鋪開之後，會不會催生出一整套圍繞"偽造身份認證"的黑色產業鏈，就像現在已經存在的賬號買賣、身份證件造假產業一樣？如果憑證本身也能被攻擊者批量獲取或者盜用，那這場攻防戰會不會只是把戰場從"文字層面的偽裝"轉移到"身份層面的偽裝"，而不是真正解決問題？
Q&A
Q1：這篇論文提出的安全不可能三角具體指什麼？
A：指有用能力、可靠安全、開放訪問這三者無法同時實現。只要任務存在雙重用途，且訪問驗證依賴的證據可以被攻擊者複製，那麼想要開放使用又想要有用，攻擊者獲得的幫助就必然大於零；想要既安全又開放，只能靠完全拒絕回答；想要既有用又安全，就必須放棄無條件開放，引入額外的可信憑證。
Q2：為什麼多輪追問、身份驗證這類交互式檢測擋不住攻擊者？
A：論文證明了一個"交互式到靜態歸約"定理：只要攻擊者能完整複製合法用戶在對話中的所有行為，無論安全護欄設計多少輪追問和驗證步驟，最終能達到的安全效果，跟一個不看任何對話記錄、只按固定概率隨機分配答案的簡單策略完全一樣，多輪驗證的複雜度不會帶來額外的區分能力。
Q3：可信憑證真的能解決這個問題嗎，需要滿足什麼條件？
A：可信憑證能有效降低攻擊者獲得的幫助，但需要滿足兩個條件：一是憑證在合法使用和惡意使用兩種場景下的分布要有足夠大的差異（論文用d值衡量）；二是如果想把風險壓到零，還需要滿足更嚴格的支持條件，即必須存在一部分只有合法用戶能觸達、惡意用戶完全無法獲取的憑證取值區間，專門用來分配高價值的答案。
