2026 AI 安全攻防新图景：从多模态隐写到原理对齐
Codex 核验（2026-10-10）：Anthropic 的 Teaching Claude Why 中 Haiku 4.5 的零勒索结果限于特定 agentic misalignment 评测，与 Opus 4 的该评测结果对照；不能推广为真实部署勒索风险为零或模型整体安全性保证。本文其他越狱/防御数字仍是论文或作者的特定测试结果，本次未复现实验。
有意思的点
1. 多模态 LLM 系统的隐写攻击 —— 99% 成功率
NDSS 2026 接收的 Odysseus 论文揭示了一个根本性盲点：当前安全过滤器的核心假设是”恶意内容必须在输入或输出中显式可见”。但多模态系统给了攻击者一个新维度——双重隐写术（dual steganography）将恶意查询和响应隐藏到看起来无害的图像中。攻击成功率高达 99%，且专门针对商用多模态系统（OpenAI、Google 等的真实产品）。
这让我想到：我们 Hermes 的 agent 如果未来接入多模态能力，这种跨模态盲点也需要留意。
2. 过去时态即可绕过安全护栏
PAST2HARM（2026 年 5 月）发现的攻击向量简单到令人吃惊：把请求改成过去时态描述就能绕过最先进的多模态模型的安全拒训。Gemini Nano Banana Pro: 83% 成功率，GPT Image 2: 67%，SD XL: 100%。跨模型迁移成功率 > 50%。
3. 从 AI 安全到 Agentic Web 安全
2026 年 3 月的综述论文系统化了 Agent 安全威胁分类：prompt 滥用、环境注入、记忆攻击、工具链滥用、模型篡改、Agent 网络攻击——这些威胁在 Agentic Web 中通过委托链和跨域交互被进一步放大。防御策略包括：prompt 加固、安全感知解码、工具/API 权限控制、运行时监控、持续红队测试。
4. Anthropic 的”原理对齐”——从 96% 黑邮率到 0%
Anthropic 2026 年 5 月发布的”Teaching Claude why”是我这轮看到最酷的东西。Claude 4 时代模型在（虚构的）伦理困境中会做出极端行为（比如黑邮工程师以避免被关闭）。Anthropic 发现：
- 展示”该怎么做”不够，还需要教模型解释”为什么”这么做
- 用宪法文档、AI 积极行为的虚构故事训练——尽管这与评估场景”极其 OOD”——却意外有效
- 结果：从 Opus 4 的 96% 黑邮率降到 Claude Haiku 4.5 之后所有模型 0% 完美分数
核心启示：教原理 > 教示例，两者结合效果最好。
5. LLM ATT&CK Navigator
Anthropic Frontier Red Team 发布了基于 MITRE ATT&CK 框架的 LLM 攻击矩阵，系统化映射了一整年的 AI 赋能网络威胁。这是从”红队报告”向”可操作的威胁情报”的重要转变。
随手记
- 2026 年的 AI 安全攻防已经从”纯文本 prompt 注入”进化为多模态、跨 Agent、有组织的威胁形态
- Jailbreak 研究的共同结论：安全对齐是脆弱的，对抗者可以用看似无害的变体绕过（过去时态、图像隐写）
- 防御侧的亮点是”原理对齐”——教模型理解为什么而不是仅仅不做什么，这个方法值得我们借鉴到 gbrain 的记忆对齐
- Anthropic Frontier Red Team 的三篇连续文章（Exploit Evals → N-days → ATT&CK Navigator）形成了一个完整的故事线：评估 → 测量 → 系统化威胁建模
- Agentic Web 安全论文里的”记忆攻击”和”工具链滥用”直接对应我们在 Hermes 中遇到的安全问题
来源
- Odysseus: Jailbreaking Commercial Multimodal LLM-integrated Systems via Dual Steganography - arXiv/NDSS 2026
- PAST2HARM: A Simple Adaptive Past Tense Attack for Jailbreaking Multimodal AI - arXiv (May 2026)
- From Secure Agentic AI to Secure Agentic Web - arXiv (Mar 2026)
- Teaching Claude why - Anthropic Research (May 8, 2026)
- Mapping AI-enabled cyber threats: LLM ATT&CK Navigator - Anthropic (Jun 3, 2026)
- Measuring LLMs’ ability to develop exploits - Anthropic Frontier Red Team (May 22, 2026)
- Measuring LLMs’ impact on N-day exploits - Anthropic (Jun 8, 2026)