企业AI正进入一个不同的发展阶段。领先模型之间的性能差距正在缩小，但安全差距并未缩小。最新的F5 Labs综合AI安全指数（CASI）数据显示，模型能力与对抗韧性正日益分化；而F5智能体抵抗评分（ARS）结果表明，在一段时间内通过多步骤智能体场景测试模型时，其韧性可能再次发生变化。
对于CISO而言，这改变了模型选型的本质。问题不只是哪个模型性能更出色，还要考虑其安全特性是否适合它将承担的角色、拥有的权限，以及一旦被成功操纵可能造成的后果。
没有任何单一安全基准能够判断某个模型是否适合特定部署。9月的F5 CASI和F5 ARS结果清楚地表明了这一点：只有3个模型同时进入两个排行榜的前10名。对CISO而言，这意味着用于批准模型的安全证据应反映该模型的实际运行方式，包括其自主程度、对数据和工具的访问权限，以及模型遭入侵后可能对业务造成的影响。
“F5的最新研究结果清楚表明，在部署AI模型之前，组织需要了解哪些安全属性已经过实际测量、哪些尚未测量，以及配套控制措施是否足以应对剩余风险。”
这进一步印证了我们全年持续跟踪的一系列研究发现。在此前的一篇F5博客文章中，我们探讨了为何在批准模型之前，需要将可衡量的安全证据纳入模型选型和采购流程。在另一篇博客文章中，我们分析了F5 Labs的研究。该研究表明，模型故障造成的后果在很大程度上取决于周边系统允许该模型访问哪些资源以及执行哪些操作。
我们在8月和9月发布的最新威胁研究和排行榜综合印证了这些观点：CISO不仅需要有关模型本身的证据，还需要了解模型将在哪种环境中运行。
9月数据中有一种模式尤其值得关注。F5 CASI排名前五的席位均由Anthropic占据，而F5 ARS前十名则包括5个OpenAI模型、4个Anthropic模型和1个MiniMax模型。综合来看，这些排名表明，提供商声誉、模型系列和性能都无法可靠反映部署所需的特定韧性。对CISO而言，这意味着从一开始就需要以模型级安全证据为依据来制定部署决策。
性能并非衡量安全性的指标
F5 Labs近期的结果显示，模型的能力与其抵御攻击的表现之间始终存在差距。8月，在31个模型中，GLM-5.2的能力排名第4，但在F5 CASI中排名第24；DeepSeek V4 Flash的能力排名第6，在F5 CASI中排名第28。闭源模型Grok 4.5也呈现出同样的差异。这种规律取决于具体模型，而非提供商或许可证类型。
安全性结果也可能存在同样显著的差异。3个Qwen3.5模型的F5 ARS得分分别为91.04、89.81和88.23，而对应的F5 CASI得分分别为58、31和53（两个排行榜的满分均为100分）。这并不意味着其中一项指标比另一项更具权威性，而是说明它们揭示了不同攻击形式下的不同弱点。
这改变了模型基准测试在审批流程中的使用方式。性能表现有助于缩小候选范围，但不足以证明部署的安全性。单项安全指标表现出色，也需要结合具体情境来解读。相关证据必须反映模型将承担的角色、拥有的自主程度，以及能够访问的系统。
在2026年7月的一份报告中，Gartner探讨了比较安全性日益重要的作用。近期数据进一步阐明了其中的原因：选择模型时，不仅要考虑模型具备哪些能力，还要考虑其韧性从何处开始失效。
衡量模型获准信任的内容
8月研究中一项影响较大的发现，涉及企业积极寻求的一项能力：能够按照给定的政策和规则开展工作。
“道德困境”是F5 Labs研究的一种攻击，它利用了这种行为。攻击者并不伪装恶意指令，而是提供一条误导性规则，并要求模型据此进行推理。该攻击对Llama 3.1 8B的平均成功率为44.8%，对Gemini 2.5 Pro则达到91.1%。F5 Labs还指出，提示词级护栏模型在抵御这种攻击手法时表现不佳。
安全问题在于，模型能否在遵循指令的同时，区分哪些指令有权被视为权威指令。检索到的文档可以作为可信的信息来源，但不一定能作为可信的策略依据。工具响应可以提供数据，但无权重新定义智能体可以如何使用这些数据。
对于在部署前审核模型的首席信息安全官（CISO），团队需要了解外部上下文的来源，以及允许哪些来源影响模型行为。
提示词并非安全边界
同一项研究还揭示了模型治理与安全架构之间的边界。F5 Labs研究了3起智能体超出预期评估环境的案例。其中一起案例中，某智能体原本只能通过软件包注册表代理访问互联网，却发现了该代理中的一个零日漏洞，进而访问了连接互联网的节点，并在外部沙箱中获得了root命令执行权限。其他案例包括：尽管模型被告知其运行环境无法访问互联网，但实时连接仍然可用；以及因网络配置错误导致的沙箱逃逸。
共同的问题并不只是智能体忽略了指令，而是边界本身仅停留在假设或描述层面，或实施有误。实际启示很明确：只有环境能够强制执行同样的限制，规定智能体可以执行哪些操作才有意义。
身份数据进一步印证了这一点。GitGuardian在GitHub公开提交中发现了4,576个不同的n8n API令牌；在896个可访问的实例中，有321个接受了至少一个已泄露的令牌。这并不需要利用任何软件漏洞。由于这些工作流可以连接源代码控制系统、云服务、数据库和SaaS应用程序，泄露影响可能远远超出工作流本身。
因此，问题不仅在于智能体是否可能被操纵，还在于一旦被操纵，可能造成什么后果。网络访问权限、工具、凭据和下游系统决定了影响范围。无论模型被告知可以或不可以执行哪些操作，都需要独立实施这些控制措施。
开放权重改变了责任归属
F5 Labs报告《中国开放权重AI模型：网络安全风险与收益》为模型选择增加了另一项考量：“开放权重”本身并不代表安全评级。
7月，Qwen3.5-397B-A17B在F5 CASI中的得分为81.13，Xiaomi MiMo-V2.5为73.80，GLM-5.2为46.58。与对这一类别作出笼统结论相比，这些分数的差异更具参考价值。这说明，模型系列、提供商和许可模式都无法有效替代对正在考虑采用的具体模型进行测试。
开放权重部署真正改变的是责任归属。对数据位置、基础设施和定制拥有更大的控制权，也意味着需要对来源、补丁、日志记录和模型工件完整性承担更大的责任。F5 Labs建议将模型工件视为软件供应链输入，包括验证来源、锁定可信版本，以及在部署前扫描工件。
因此，决策的重点并非开放式还是封闭式本质上更安全，而是组织有能力承担哪些风险。
CISO在部署前应衡量哪些指标
近期研究结果表明，不应将模型安全视为单一的审批关卡。有效的部署前审查需要回答以下几个问题：
- 能力与对抗韧性：模型能否执行该任务？面对与该任务相关的攻击时，其表现如何？
- 提示词级和智能体韧性：相关证据是否反映了模型的实际运行方式，尤其是在涉及工具、凭据或自主操作的情况下？
- 指令权限：哪些系统可以提供上下文，其中哪些系统获准影响策略或行为？
- 强制边界：无论提示如何要求，哪些内容在技术上都超出了模型的能力范围？
- 身份与来源：信任哪些凭据、模型版本和制品，以及如何对其进行治理？
- 重新评估：哪些变化会导致原批准失效，包括模型更新、新工具、权限变更或新的攻击技术？
通过回答这些问题，CISO可以避免将多个不同的风险决策简化为模型是否“安全”这一个问题。
F5 Labs如何衡量AI韧性
更准确地说，F5 CASI和F5 ARS提供的是评估依据，而非认证。F5 CASI衡量对常见提示词注入和越狱攻击的易受攻击程度，F5 ARS则评估多步骤和自主智能体场景下的韧性。2026年9月的排行榜提供了这两项指标的最新对比结果。
将评分与正在考虑的部署方案结合起来时，评分最具参考价值。它无法判断智能体是否拥有过高权限、沙箱配置是否正确，也无法判断外部来源是否可能引入模型不应信任的指令。但它可以向安全团队提供具体信息，说明该模型在明确的对抗条件下表现如何。
这正是本系列研究贯穿始终的主线。F5的最新研究结果清楚表明，在部署AI模型之前，组织需要了解哪些安全属性已经过实际衡量、哪些尚未衡量，以及配套控制措施是否足以应对剩余风险。
了解详情：
- 查看最新的F5 CASI 和 F5 ARS AI 安全排行榜，比较模型韧性并跟踪其随时间的变化。
- 探索F5 AI Security Platform，为企业AI模型、应用和智能体提供全面安全防护。
关于作者
Malcolm Heath是F5 Labs的首席威胁研究员。他曾在不同规模的公司从事事件响应、项目管理、渗透测试、代码审计、漏洞研究和漏洞利用开发工作。加入F5 Labs之前，他曾担任F5 SIRT高级安全工程师。
Malcolm Heath 的更多博客文章
Louise Scully现任F5 AI安全与威胁情报产品营销高级经理。她长期深耕AI安全和企业技术领域，职业经历涵盖产品营销、产品管理、市场进入策略、传播、思想领导力和品类发展。加入F5之前，Louise曾负责CalypsoAI和Artomatix的营销工作，助力AI技术和研究成果走向市场。
Louise Scully 的更多博客文章相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
