F5 AI Red Team：一次性关卡还是持续实践？

F5 ADSP | 2026年8月13日

停止测试后，AI模型的安全评分会发生什么变化？

大多数团队认为答案是“不会有任何变化”，因为他们在发布前开展了红队评估，获得了不错的评分，之后便不再关注。然而，每个组织都在同时改变三个方面：速度、规模和安全性。他们希望快速发布AI功能、保持其可信度，并在模型、智能体和集成范围不断扩大的同时兼顾这两点，而不作任何取舍。

但在实践中，过度追求其中一项，几乎总会牺牲另一项。对于每隔几周就要发布模型更新的团队来说，不可能每次都留出6周进行人工审查。因此，上个月的结果会被视为仍然有效，或者未经验证的模型会继续暴露在风险中。Red teaming过去只是发布前需要完成的一项检查，但如今，静态的单点测试已无法跟上AI威胁的演变速度。

“AI红队测试是一项持续开展的工作，其推进速度必须与所保护系统的发展速度保持同步。”

通用的一刀切测试无法跟上组织自身工作流、所在行业和监管范围所特有的风险变化。正因如此，从业人员需要针对其特定环境量身调整的红队测试；一些客户已将其直接集成到自身的管道和基础设施中运行。

CASI和ARS评分实际衡量的内容

静态测试可以判断模型是否通过了某次测试，但无法说明该模型在面对持续、复杂或不断演变的攻击时表现如何。因此，F5 Labs制定了两项客观指标：综合AI安全指数（CASI）和智能体抵抗评分（ARS），帮助安全团队以清晰的方式评估模型、持续跟踪安全态势，并向管理层报告风险。以下是这两项指标各自实际衡量的内容。

综合AI安全指数（CASI）：CASI是一项用于衡量模型整体安全性的综合指标（方法说明见此处）。该指标会考虑攻击成功次数、可能造成的后果严重程度，以及攻击者为成功实施攻击所需付出的努力等因素。分数越高，模型的整体安全态势越强。

智能体抗攻击能力评分（ARS）：ARS用于衡量当一组自主攻击智能体主动尝试攻破整个AI系统、提取敏感信息、探查系统架构或对模型实施社会工程攻击时，系统的抵御能力。ARS较高意味着，即使面临持续的针对性压力，而非仅仅一次攻击尝试，系统仍能保持其防护机制有效。

CASI、ARS和F5 AI Red Team的实际应用方式

大多数安全团队已在使用静态应用安全测试（SAST）等传统工具扫描源代码，并使用动态应用安全测试（DAST）测试运行中的应用。这两类工具都并非用于测试应用底层的AI模型是否会受到诱骗、操纵或逐步削弱。

CASI评分仅能准确反映测量时的情况，但模型和威胁都在不断变化。某个模型在一次测试周期中的评分约为93，几个月后可能降至73至77。即使客户完全没有更改代码，仅因底层模型发生变化，评分也可能波动15至20分。因此，我们看到一些F5 AI Red Team客户将重新测试直接纳入CI/CD发布流水线。每当发布新的模型版本或微调变体，或经过足够长的时间后，都会重新检查CASI和ARS基线，而不是假定上一季度的评分仍然适用。