AI 安全护栏正在把谁推向开源模型

2026 年 7 月 23 日，TechCrunch 登了一篇报道。标题不算耸人听闻，但里面的声音值得你花五分钟读完：多位安全研究者说，OpenAI 和 Anthropic 的安全护栏正在阻碍他们的合法工作。

你没看错。不是为了拦坏人——坏人在拦之前就走了。拦住的，是那些愿意守规矩的人。

护栏打在谁身上

Mark Dowd 是安全圈里你绕不开的名字。他做了几十年漏洞挖掘，把零日漏洞卖给西方国家政府，而不是报告给厂商打补丁。他说了一句话，原话是：“让我不舒服的是，这些随机的大型公司正在对安全领域什么算安全、什么不算安全做任意裁决。”

不是反对护栏。是反对”任意”。 ^9e69f3

Chris Anley，安全咨询巨头 NCC Group 的首席科学家，给出了一个更具体的场景：让 AI 模型尝试利用一个已发现的 bug，是确认它是否构成真实威胁的关键步骤。但护栏一旦触发，模型直接拒绝回答——而这个拒绝，恰恰堵住了防御者确认漏洞的路径。

他说得很直白：“让它修代码这个提示词，既是防御的基本动作，也是找到关键漏洞的路线图。同一工具同时是进攻工具也是防御工具，你拆不开。”

说白了：攻和守在工具层面是一条指令的两面。你能拦住进攻那一面，也就能拦住防守那一面。

审查程序：守规矩的人要过三道门

目前两家最大的前沿模型公司都建了自己的”审核通道”。

OpenAI 在 2026 年 2 月推出了 Trusted Access for Cyber（TAC），用户要到 chatgpt.com/cyber 验证身份；企业通过销售代表申请。4 月又推出 GPT-5.4-Cyber，一个专门为网络安全微调、降低了拒答门槛的模型——但只对”经过审查的安全供应商、组织和研究者”开放，且限制零数据留存。

Anthropic 这边是 Cyber Verification Program（CVP），把请求分成两类：禁止用途（勒索软件、大规模数据窃取等，一律永封）和双用途高风险（漏洞利用、攻击工具开发等，默认拦截但可申请解除）。审核承诺 2 个工作日内回复。

听起来很合理。但三个细节暴露了问题。

第一个细节：CVP 目前不支持 Amazon Bedrock 和 Google Vertex AI。你在这些平台上的 Claude，申请不了。

第二个细节：一位智能手机零部件制造商的研究员，公司不在 CVP 里。他告诉 TechCrunch：“只要模型嗅到我们在做安全相关的事，它就直接停下来，完全没法用。”

第三个细节来自 Chris Thompson，安全公司 RemoteThreat 的 CEO 兼 Offensive AI Con 的创始人。他就在 CVP 里，也在 TAC 里。但他描述的经历是：护栏”每一天都不一样”，“你把大量时间花在跟模型谈判上，而不是花在真正的安全工作上。”

审核通道建了，但过了门的人还在反复被拦。这根护栏的触发规则不透明、不稳定、不可预期。

安全喊话的反噬

这个话题绕不开 Anthropic 的 Mythos。

今年 4 月，Anthropic 发布 Mythos 预览版时，描绘了一个近乎末日级的画面：这个模型发现了每一个主流操作系统和浏览器中的漏洞，许多漏洞存在了一到二十年。公司决定不公开发布，而是通过 Project Glasswing 仅向 12 家合作伙伴（包括 Amazon、Apple、Google、Microsoft）提供访问权限，总共 40 个机构。

Sam Altman 当时在播客里的评价是：“这明显是极好的营销——‘我们造了一颗炸弹。我们本来要把它砸你头上的。现在给你卖个防空洞，1 亿美元。’”

Altman 这话有酸味。但 6 月 12 日发生的事证明他的直觉不是全错：美国政府以国家安全为由，直接命令 Anthropic 关闭 Fable 5 和 Mythos 5 的全部访问——不只是外国用户，是全世界所有人。

事后出口管制已解除。Fable 5 于 7 月 1 日恢复公开访问。但 Mythos 5 至今只对美国境内的受审查机构开放。

一个公司花几个月告诉全世界”我们的 AI 太危险，不能放出来”，然后政府听进去了——把你的 AI 关了。这叫安全营销的自我实现。

但更大的讽刺在后面：被 Anthropic 用安全理由限制的 Mythos 级能力，一家叫 Aisle 的 AI 安全创业公司用更小的开源模型就复制了大部分成果。

护栏拦的不是能力，是获取能力的方式。

谁走，谁留

Thompson 观察到了一个具体的行为模式：当研究者在前沿模型上反复撞墙，他们会做什么？

“他们转向中国开源模型，比如 GLM——可以免费下载，本地运行，没有审查，没有使用限制。”

他说这句话的原话是：“你把这些负责任的调查者，从美国管控的系统推向外国系统。我觉得这些护栏的危害大于好处。”

这是整件事最反直觉的地方：护栏的存在本身没问题。问题是护栏的入口设计。

合规入口越窄，通过率越低，拒答规则越不透明——就越会把那些愿意排队过门的人推向不用排队的地方。而不排队的地方，没有任何护栏。

如果你想一下留下来的都是谁，只有两类人。一类是通过了审查的少数大型机构——他们本来就有团队、有资源、有合规能力。另一类是根本不需要通过审查的人——因为他们不用你的模型。坏人不会因为你的模型拒答就放弃攻击，他们用开源模型，或者用被蒸馏出来的能力。

你拦住的不是坏人。你拦住的是 NCC Group 的研究员——他在帮企业修漏洞。你拦住的是那个不知道能不能通过审查的小公司安全负责人——他昨天还在用 ChatGPT 做代码审计，今天模型说”我不能协助这个请求”。

如果你就是那个研究员，你被拦了三次之后会怎么办？你不会去填表申诉。你打开了一个开源模型。

开源模型的安全悖论

Meta 的 Llama 和 Mistral 的开源模型不设护栏。不是它们更安全——是它们根本没有这道门。

一个没有护栏的模型可以被任何人用于任何目的，包括恶意攻击。这是风险，没人否认。

但反过来问：当越来越多合法的安全研究者因为闭源护栏的不稳定而迁移到开源模型，谁在使用有护栏的闭源模型？答案是商业用户、普通用户、以及通过了审查但仍在反复触发误拦的极少数安全专业人士。

开源模型没有护栏，所以攻击者和防御者都在用。

闭源模型有护栏，但防御者被反复挡在门外，攻击者从一开始就没打算敲门。

你说哪个生态更安全？

10 分钟后 / 10 个月后 / 10 年后

10 分钟后，一个安全研究员在 Claude 里输入了一条测试负载，模型拒绝回答。他关掉网页，打开了一个本地部署的开源模型。没有护栏，没有审批，也没有审计日志。

10 个月后，他已经习惯了用开源模型做安全审计。闭源模型对他来说只是一个”偶尔试试”的备选项。他不再申请 CVP，不再填表，不再跟模型谈判。他的团队也一样。他们发现开源模型加上一些微调，能干闭源模型不让干的活——而且没有人在背后随时改规则。

10 年后，安全生态分成了两个平行世界。一边是受审查的机构在用有护栏的闭源模型做合规审计——规规矩矩，不出格。另一边是所有不想排队、不想填表、不想被”任意裁决”的人，在用没有任何护栏的开源工具。真正的漏洞挖掘、零日研究、前沿攻防，全在后一个世界里。

你告诉我，哪个世界更安全？

护栏需要，入口需要更宽

说清楚了：这不是一篇反对护栏的文章。

护栏必须存在。没有人想把没有安全过滤的 GPT-5.6 塞给全球每一个注册账号。OpenAI 的 Codex Security 已修复了超过 3000 个高危和严重漏洞，这是护栏存在的正面证据。

问题是护栏的粒度。

把”帮我写一段勒索软件”和”帮我确认这个缓冲区溢出是否可被利用”扔进同一个拦截桶里，不是安全策略，是偷懒。

一个靠身份审查来决定谁能用、谁不能用的体系，可能选出”更不会惹麻烦的人”，但不一定选出”更需要用的人”。那家手机零部件制造商的安全负责人，可能比名单上的很多机构更需要这个能力——但他不在名单上。

Thompson 在采访最后给了一个方向：不是收紧，是放开——开放项目入口，提供负责任访问，追责那些滥用工具的人，而不是预设所有人都是潜在的攻击者。

说白了：你不是在造防空洞，你是在造锤子。锤子既能钉钉子也能砸人。你把锤子只卖给经过审查的工人，不让普通人钉钉子，最后普通人去买黑市锤子——黑市锤子没有质保，谁都能买，你管不了。

这个安全生态到底是变得更安全了，还是更危险了？

幸知 / 2026-07-24 / TechCrunch (2026-07-23, 2026-06-12, 2026-04-07, 2026-04-09), OpenAI TAC 官方博客 (2026-02-05, 2026-04-14), Anthropic CVP 帮助页面