前沿实验室各自发布了「负责任扩展政策」（RSP）：给自家模型的能力设定安全阈值——超过阈值就加强防护或暂停训练。三家的框架各有侧重，互相比较之下，「承诺的严格程度」与「执行的透明度」成为新的竞争维度。

中国监管地图篇讲了备案与合规清单，这篇往下挖一层：标准的体系——全国网安标委（TC260）的《人工智能安全治理框架》、系列安全标准与「法规-标准-实践」的传导机制。理解标准层，才算真正理解中国 AI 安全治理的操作面。

智能体相关的安全事件正在从个案变成一类现象——泄露凭证、越权操作、注入劫持、数据外泄。个案的细节各不相同，但按「攻击面 × 受害者」分类后，事件的类型学清晰可见，每类的成因与生态级响应也不同。本篇建立一个事件分类框架，并观察生态在每一类上的响应成熟度。

网络安全险（Cyber Insurance）用了二十年把安全从成本变成可保资产。AI 险正在走同一条路：幻觉责任险、AI 治理险、模型失效险——保险业的精算介入，会给 AI 安全带来「市场化定价」的第三道治理力量。

NVIDIA 开源的 Agent 安全运行时 OpenShell 单日涨星 1200+：Landlock 与 seccomp 在内核层管住文件与网络，真实凭据永不下发沙箱，Z3 求解器在毫秒内证明策略变更不越界。本文拆解其控制面与数据面架构、策略提案闭环与落地场景。

Cloudflare 开源的编码智能体安全审计技能，近一周被社媒二次引爆，单日涨星 1,680。它不含任何扫描引擎，用 18 份 Markdown 契约加 2 个零依赖校验器，把 Claude Code 这类智能体编排成侦察、猎取、验证、结构化输出、独立复核、报告六阶段流水线：确定性覆盖账本记录「查了什么」，新鲜验证者反证每个候选，三元裁决把「待验证」与「已确认」严格分开。本文拆解其架构取舍、LLM 应用审计场景与 token 成本争议。

分层回答 RSI 真伪：工程自动化层已跨门槛（Anthropic >80% 代码、AlphaEvolve 回收 0.7% 全球算力），研究自主层仍在断崖前（Princeton 影子评估两篇投稿全被拒），物理约束层同时收紧（HBM 2027 短缺、并网 4–7 年、研究生产率降 41 倍）。含验证层级判别工具、L0–L5 分类学、7 组冲突案例归因、24 行量化结论台账与 17 项未获取清单。

AI 安全的工具生态正在开源社区快速成形：NVIDIA 的 Garak、微软的 PyRIT、Anthropic 的评测框架——红队工程师的瑞士军刀已经组装完毕。盘点主流工具的能力边界，以及「工具好找、用得好的很少」的现状。

DevSecOps 把安全装进了软件的 CI/CD，MLSecOps 把同样的哲学装进 AI：模型的上线要过安全门、依赖要扫漏洞、提示词的变更要审、评测要进流水线。AI 应用的安全不能靠事后救火，要靠流水线的门禁。

AI 安全的岗位需求在爆发，但这个领域的职业地图还没有被好好画过——企业侧的红队与安全工程师、实验室的对齐研究员、政府的评测分析师、独立社区的研究者——四类角色、四条路径、四种修炼。

AI 应用在企业里铺开，CISO 的防护对象变了：模型、提示词、Agent、向量库——但这些新物种的威胁模型与传统安全有多少是通的？给安全从业者转型 AI 安全的知识迁移地图：哪些要带、哪些要学、哪些要放下。

想发表 AI 安全研究、想知道这个领域的学术版图？主流 ML 会议的安全 track、专门的安全会议、跨学科期刊——AI 安全的学术生态是「寄生在 ML 会议里」长出「自己的专场」的过程。

LangGraph 是 LangChain 生态里最流行的 Agent 编排框架：把智能体的控制流画成显式的状态图。本篇拆解它的核心抽象（StateGraph、节点与边、reducer）、checkpoint 持久化与断点恢复、human-in-the-loop 中断机制，以及它与朴素 Agent 循环、其他框架的取舍。

Anthropic 把 Claude Code 的内核开放为 Claude Agent SDK：一个以「Claude Code 的能力」为基座的通用 Agent 框架。本篇拆解它的设计（Agent 循环与工具集的内建、子智能体、Hooks 与权限体系）、它证明的「内核复用」路线、以及与 OpenAI Agents SDK/LangGraph 的定位差异。

开放权重模型（人人可下载、可微调、可本地部署）是 AI 生态最重要的活力来源，也是安全辩论最激烈的战场：拆掉护栏的微调、无法收回的发布、能力越来越强的权重——「开放」与「安全」的张力在这个问题上没有简单答案。本文呈现辩论双方的最强论点与现实的中间路线。

单个智能体的安全问题（权限、注入、失控）已经够难；当多个智能体组成团队协作——互相委托任务、传递上下文、协商决策——安全问题的形态发生质变：错误在链条里放大、信任在智能体间传递、责任在系统里蒸发。本文讲清多智能体系统的新攻击面与安全设计的原则。

企业 AI 风险的第一现场往往不是「部署了大模型」，而是「员工早已在用」：代码贴进公共 AI、客户数据进了第三方模型、AI 生成的错误内容直接出街。企业 AI 治理清单从这个最现实的起点出发：政策、数据分级、供应商评估、人机责任四层，给出一份可落地的治理框架。

2018 年 7 月，长春长生的狂犬病疫苗生产记录造假被曝光，随后百白破疫苗旧案并发——两案叠加引爆全民愤怒，公司被罚 91 亿元强制退市，直接催生了《疫苗管理法》。长春长生案与三鹿案共同划出了一条红线：涉及公共安全的危机，不存在「公关空间」，只有「生存空间归零」。

DeepSeek 宣布全面开源支撑 V4.1 Flash 线上服务的内部推理框架 DeepInfer，支持推测解码、分布式推理等能力，兼容英伟达 GPU 与华为昇腾。

聊 AI 治理不能只聊欧盟与中国：美国的联邦-州双轨博弈、英国的「安全研究所路线」、新加坡的框架治理、G7 与联合国的国际机制——每个辖区都在用不同的哲学回答同一个问题。本文补全全球治理地图上「除中欧外」的部分，看清各条路线的分野与合流。

2021 年 6 月 30 日，滴滴以不办敲钟仪式的方式低调登陆纽交所；48 小时后被启动网络安全审查，4 天内 App 全线下架，市值从 670 亿美元跌到退市时的约 110 亿美元，一年后被罚 80.26 亿元——官方通报罕见写明「阳奉阴违、恶意逃避监管」。本系列第十篇复盘一个没有「公关动作」可复盘的案例：当舆情议题从消费者情绪升维到国家安全，道歉与声明全部失效，应对的主战场从舆论场移到监管场，账单以年计。

搭建 RAG 有四条路：LangChain 的生态最广、LlamaIndex 的 RAG 最专、Haystack 的生产最稳、自研的控制最强。本篇拆解四个框架的定位、核心抽象与适用场景，以及「框架会过时但模式不会」的选型心法。

CrewAI 是最流行的角色化多智能体框架：把协作建模成「团队」——每个成员有角色、目标与背景故事，任务被分配、依赖与流转。本篇拆解它的核心抽象（Agent/Task/Crew/Process）、两种执行模式（顺序与分层）、Flows 的确定性补充、以及「角色扮演何时有效」的实证边界。

从模型市场下载一个开源权重文件，可能携带的不只是参数：pickle 反序列化的任意代码执行、被「重新发布」的假冒模型、藏了后门的微调权重。模型供应链安全正在成为软件供应链安全之后的新战场。本文讲清攻击面、已公开的真实案例与工程上的防御清单。

OAuth 2.0 是现代互联网的授权标准：「用微信登录」「用 GitHub 登录」背后都是它。本文讲清四种授权模式的适用场景、AccessToken 与 RefreshToken 的配合、PKCE 扩展为什么是移动端的必选项，以及常见的 Token 安全漏洞与防御。

Agent 工程系统学习第 11 章：Agent 攻击面 = 传统 Web + 模型新面。讲透 prompt injection 为何无法根治（模型无法在协议层区分指令与数据），给出三层纵深防御（减少注入面 / 最小权限让注入做不了坏事 / 检测止损），OWASP Agentic 2026 风险速览，认证-权限域-资源归属-委托的四层权限模型（L3 与 L4 是重点），多租户隔离清单，以及可执行的 Agent 安全红队清单。

大模型的科学能力是双刃剑的极端形态：同一个能帮学生学生物的模型，理论上也可能在合成生物学的路径上「辅导」一个恶意行为者。生化（bio/chem）风险因此成为前沿 AI 安全的必答题——能力评估、访问管控与监管要求正在围绕它成型。本文讲清这个领域的风险模型、行业实践与监管框架。

Anthropic 招股书披露上半年营收约 163 亿美元、净亏损 807 亿美元，并自曝曾因安全顾虑暂停下一代旗舰模型训练超一个月。

据报道，Anthropic 已拟定前沿 AI 安全法案草案并私下向美国国会议员推介，拟设政府干预门槛：可能造成超 10 亿美元损失或 50 人以上死伤时方可阻止模型发布。

论文提出AgentSafeEvo，通过攻击者-防御者博弈的协同进化强化学习，提升LLM智能体在多轮工具调用中抵御恶意内容操纵的安全性。

OpenAI 回应三名安全研究人员被解雇争议，否认与安全警告有关，称内部调查发现「重大信任破坏」。

IDC 发布首份大模型安全技术评估报告，360 获五项满分、综合排名第一，评估聚焦提示词攻击、数据泄露等模型层安全风险。

AI 写代码引入了三类新安全面：约两成 AI 建议的包名并不存在（攻击者开始抢注这些「幻觉包名」，术语叫 slopsquatting）、仓库里的恶意注释能劫持编码智能体、生成代码自带老漏洞。本文拆解三类风险的机制与防御清单。

OpenAI、Anthropic、Google、Meta 高管及 AI 吹哨人在纽约市议会全体委员会听证会上就 AI 风险与安全保障措施宣誓作证。

「这个模型安全吗」没法用一个数字回答——安全是一组维度上的分布。本文梳理有害拒答、越狱鲁棒性、过度拒绝、公平性与事实性五个维度，讲清评测过拟合的陷阱与红队互补关系，给出应用方的落地建议。

OpenAI 因两项关键安全指标回退放弃发布原定 10 月上线的 GPT-6.1 Astra，安全与对齐指标正成为新一代高自主性模型的实质性发布门槛。

算力是 AI 的硬通货——而它有一个其他资源没有的特性：极度集中。训练前沿模型需要的芯片、数据中心与电力，掌握在全球极少数企业手中。这个集中性让「算力」成为 AI 治理的独特杠杆：出口管制用它卡能力的扩散，追踪机制用它验证合规。本文讲清算力治理的逻辑、实践与它管不住的部分。

TLS 1.3 把 TLS 1.2 的握手从 2-RTT 压到 1-RTT、砍掉了一大批过时的加密算法、强制了前向安全——它不只是「更快的 TLS」，是一次安全模型的全面升级。拆解 1.3 的握手流程、0-RTT 的取舍与迁移指南。

2026 年 10 月，开源编码智能体 OpenCode 的控制台被入侵，1.4% 关联用户的 Anthropic、OpenAI、Google API 密钥可能外泄。本文从这起事件出发，把编码智能体的凭据失守路径拆成三条——指令文件劫持、运行时反馈注入、存储与供应链薄弱——每条都配真实事件与实验数据，再给出从短时效凭据到出口管控的四层防御工事，以及一份今天就能动手的工程清单。

让 AI 改进 AI 是半个多世纪的旧梦，但 2026 年的落地方式出乎意料：不是模型改自己的权重，而是智能体改自己的「执行框架」。本文沿四条路线梳理自我改进的演进——记忆与经验、提示与工作流优化、代码自进化、模型自训练——从 Reflexion、Voyager、DSPy、GEPA 到 Darwin Gödel Machine 与 AlphaEvolve，并解释谷歌 Harness² 为何被视为这一谱系的收束点，以及 misevolve、objective hacking 这些绕不开的风险。

谷歌 Cloud AI Research 开源 Harness²：把智能体执行框架拆成 8 个可编辑组件，用「任务级递归 + 元级递归」双层循环在无标准答案的开放任务上自动改框架——冻结 GLM-5 与 Gemini 3.5 Flash 权重，WorkBuddy-Bench 最高涨 11.5 分，LAB 基准涨 11.8 个百分点。本文拆解它的 Propose-Probe-Compose 机制、经验库硬约束与实验成绩，也整理了社区最尖锐的质疑。

“IT早报”时间，大家好，现在是 2026 年 10 月 12 日星期一，今天的重要科技资讯有： 1. 国家安全部揭秘为何接陌生来电先沉默三秒，称数秒语音样本可能被不法分子用于 AI 声纹克隆 近期，一条“接到陌生来电先沉默三秒”的提醒在社…

发布不到两年，MCP 从 Anthropic 的一个开放标准长成了 AI 应用连接层的事实标准——又在 2026-07-28 的规范里把自己重构了一遍：会话没了、握手没了、sampling 和 roots 被废弃。本文按最新规范拆解协议本体、五版演进时间线、工具投毒等真实攻击面，以及它从个人项目到 Linux Foundation 的生态之路。

前 OpenAI 安全员工 David Robinson 发文批评公司迭代部署模式过于激进、安全投入不足，并呼吁 AI 行业建立类似核电与航空级别的安全保障体系，OpenAI 对此作出回应。

据报道，OpenAI Safety Systems团队内负责撰写模型system card等公开安全材料的安全透明度负责人David Robinson已离职，离职原因未公开，同时有三名员工因泄密被开除。

完整版（含研究方法、逐条证据台账、口径冲突清单、常见误判澄清表、渐进式落地路线与 18 条参考文献）。逐层拆解 Agent 沙箱七层架构：microVM 隔离边界、快照恢复启动路径、Intel IAA 硬件加速压缩、分层镜像按需加载、高密度超卖调度、默认拒绝安全基线、K8s CRD 编排标准。锚定 Firecracker NSDI'20、Sabre OSDI'24、DeepSeek DSec arXiv 2609.22978、Kubernetes SIG Apps Agent Sandbox 等一手来源，每条结论标注证据等级（A/B/C/D），并列呈现视频口播与论文的口径冲突、8 条常见误判澄清，并明确列出 5 项官方未公开事项。

安全评测通常测「模型会不会做坏事」（拒答、越狱），危险能力评估测的是另一件事：「模型有没有能力做坏事」（生化辅助、网络攻击、自主行动）。前者是行为测试，后者是能力上限测试——前沿模型部署前的必答题。

基于视频《为什么沙箱成了 AI 圈最卷的新基建》的深度延伸调研。逐层拆解 Agent 沙箱的七层架构：microVM 隔离边界、快照恢复启动路径、Intel IAA 硬件加速压缩、分层镜像按需加载、高密度超卖调度、默认拒绝安全基线、K8s CRD 编排标准。锚定 Firecracker NSDI'20、Sabre OSDI'24、DeepSeek DSec arXiv 2609.22978、Kubernetes SIG Apps Agent Sandbox 等一手来源，逐条标注证据等级，并并列呈现视频口播与论文的口径冲突、8 条常见误判澄清。

Cyble 资助的开源 AI SOC：OCSF 规范化、2530 条实测可执行检测规则、Ollama 本地模型分诊告警，提示词与工具调用全部落账本，响应默认必经人工审批。

2026-09-28 剑桥 CASP 发布 22 位作者联合报告，Hinton、Bengio、Barto 三位图灵奖得主与 OpenAI 首席科学家 Pachocki、Anthropic 联合创始人 Jack Clark 等首次联署，警告自动化 AI 研发可能触发"智能爆炸"。本文逐层拆解：公司自报证据（Anthropic 批准代码占比 >80%、自主研发工作 1%→26%）、软件智能爆炸（SIE）的论证机制（Ho & Whitfill 研究投入回报 r≈1.2–1.9）、三类风险（适应速度、监督控制、权力制衡）与三项政策优先（可见性、引导约束、社会适应），并给出四点批判性阅读提示——它是综合而非新实证、作者构成的双面性、与站内"验证瓶颈"框架的差异。