仅靠政策，首席信息安全官（CISO）越来越难以管理AI安全风险。随着组织采用更多AI模型、AI应用和智能体工作流，安全负责人需要更清晰的方法来评估哪些模型适合使用、哪些供应商可能带来风险，以及AI系统在面临现实威胁时会如何表现。
这正是衡量发挥关键作用之处。F5的AI安全基准，包括综合AI安全指数（CASI）和智能体抗攻击评分（ARS），可帮助组织评估AI模型风险、比较AI安全态势，并了解模型和智能体系统在对抗压力下的表现。结合F5 Labs持续提供的AI威胁情报，这些基准可为CISO在模型选择、供应商治理、运行时保护和持续AI风险评估方面提供更有力的证据依据。
“CISO不能等到部署阶段才衡量AI风险。更有力的决策应在生命周期的早期阶段作出。”
这一点至关重要，因为许多AI安全决策早在模型投入生产之前就已作出。当AI系统上线时，组织可能已经选定模型、批准供应商、确定架构、梳理数据流、连接工具并授予系统访问权限。运行时控制仍不可或缺，但以更合理的上游决策为基础时，其作用会更加显著。
对于首席信息安全官（CISO）而言，需要考虑的不再只是如何保护部署后的AI，还包括如何量化AI在整个生命周期中的风险，涵盖采购、模型选择、部署、监控和持续测试。
AI风险始于运行前
谈及AI安全时，人们通常关注运行时保护：监控提示词、控制输出，以及防止AI系统投入生产后遭到滥用。这些控制措施至关重要，但只是AI安全生命周期的一部分。
AI风险不仅存在于运行时，还涉及采购、供应商治理和架构。如果仅在部署后开展安全评估，首席信息安全官（CISO）可能不得不应对一些本可在流程早期降低、质疑或避免的风险。这样做并非为了减缓AI应用，而是帮助组织更清楚地了解所接受的风险，从而加快推进速度。
近期研究结果
F5 Labs每月都会发布AI安全威胁情报以及CASI和ARS排行榜，以跟踪模型、智能体和生态系统风险的演变趋势。F5 Labs于2026年5月发布的研究表明，CISO需要从更广泛的视角重新审视AI风险。这些研究结果不仅为研究人员提供技术信号，也为负责审批模型、审核供应商、制定策略，以及在AI应用投入生产时提供保护的安全负责人带来切实可行的启示。
首先，模型选择如今已成为一项安全决策。5月的CASI分析显示，Qwen模型系列的安全状况存在显著差异，其中Qwen3-2B与Qwen3-4B相差78分。对CISO而言，结论很明确：仅了解模型名称还不够。不同的模型规模、版本、配置和部署选择可能具有不同的风险特征。
如果较小或成本较低的模型足以胜任特定任务，它可能看似是颇具吸引力的替代方案。但如果该模型带来的安全状况存在实质性差异，安全团队可能需要质疑或阻止此次替换。通过客观测试、对比评分，并清楚了解不同模型在对抗性条件下的表现差异，可以更有依据地支持这一决策。
第二个启示是，AI的安全行为可能以静态策略无法发现的方式失效。5月的威胁情报重点介绍了持续挑战模型防护机制极限的对抗技术，包括旨在绕过预期控制措施的越狱方法。CISO应认识到，AI安全测试需要随攻击手段的演变而不断改进，因为在一项测试中看似安全的模型，可能无法通过另一项测试。
第三个启示是，AI供应链风险如今已成为AI安全的一部分。5月的威胁情报指出，与AI相关的开发工作流、软件包生态系统、CI/CD管道、注册表以及支持AI的开发者工具均存在风险。这些风险的共同点在于信任：受信任的软件包、自动化流程、注册表、工具和执行路径。对CISO而言，这意味着AI风险不仅来自提示词、输出或运行时的模型行为，还可能来自支持AI应用的供应商、工具、软件包、管道和自动化层。
综合这些经验，可以得出同一个结论：CISO需要从制定AI政策转向衡量AI实际情况。政策规定了应当如何做，而衡量有助于安全团队了解实际情况、正在引入哪些风险，以及哪些决策需要调整。
模型风险的发展速度已超过治理能力
随着AI应用加速普及，组织面临着快速推进、降低成本并支持更多业务用例的压力。团队会根据性能、延迟、可用性、部署便捷性和价格来比较模型。但仅凭能力和成本无法全面评估模型。即使来自同一模型系列，从业务角度看似可行的替代模型，也可能带来不同程度的AI安全风险。
供应商可能会声称使用的是某个知名模型。内部团队可能会表示，为提高效率，他们正改用更小的模型。产品团队可能会认为，同一系列的模型在行为上大致相似。从安全角度看，这些假设可能带来风险，尤其是在模型连接到敏感数据、面向客户的体验、业务关键型工作流，或可代表用户执行操作的智能体系统时。
CISO需要掌握比模型名称更深入的证据。他们需要了解模型在对抗压力下的表现、与替代方案相比的差异，以及拟议变更是否会对组织的风险态势产生实质性影响。
CASI让模型风险更早实现可衡量
CASI让组织能够在部署AI模型之前比较其基准安全状况。对于首席信息安全官（CISO）而言，这使模型安全不再停留在主观讨论层面，而是成为可量化的决策依据。
在实践中，CASI支持多种治理工作流。它有助于安全团队评估模型是否适合特定用例，同时考虑到，用于低风险内部摘要的模型可能不需要像连接客户数据、关键业务工作流或自主智能体系统的模型那样接受同等程度的审查。它还可以为安全团队提供更明确的依据，以了解正在使用哪些模型、这些模型经过了怎样的测试，以及有哪些证据支持相关选择，从而加强采购和供应商治理。
如果企业希望采用成本更低的模型，基准测试有助于判断这一变更是否可接受、是否需要额外的控制措施，或风险是否大于收益。
威胁情报揭示生态系统风险
近期威胁情报之所以重要，是因为它表明AI安全风险并不局限于模型本身。对CISO而言，最值得关注的趋势是，风险正扩展到AI周边系统，包括开发者工作流、软件包生态系统、CI/CD流水线、注册表、自动化层以及AI赋能工具。
开发人员安装软件包，智能体执行任务，CI/CD流水线发布代码，注册表分发依赖项，而支持AI的工具则可访问本地环境和工作流。如果这些信任路径未得到治理、测试和监控，AI应用甚至可能在投入生产之前就已引入风险。
对于首席信息安全官（CISO）而言，这些威胁情报表明，AI治理不仅要涵盖所选模型及其周边的运行时控制，还需涵盖支持AI开发的生态系统。供应商审查应关注模型来源、开发流水线、软件包治理、工具权限和依赖项管理。架构审查应考察智能体和AI赋能工具可以访问哪些资源、可以执行哪些操作，以及哪些环节需要人工批准。CASI有助于在部署前评估模型层面的风险，而ARS有助于评估智能体系统在对抗压力下的行为。
ARS衡量智能体韧性
随着组织从AI模型转向AI应用和智能体工作流，衡量工作面临的挑战也变得更加复杂。单独评估时，模型可能看似符合要求；但当模型连接到工具、API、数据源、业务逻辑或可让其执行操作的系统时，风险可能会发生变化。
ARS将衡量范围扩展到这一运营层面，帮助组织评估智能体系统在持续对抗压力下的表现。这些系统并非只是生成输出，还可能做出决策、调用工具、检索数据、触发工作流或影响业务流程。
这意味着，AI安全测试不仅要评估单个模型在受控环境中的表现，还需要考量系统在长期运行和遭受攻击时的行为。ARS可帮助首席信息安全官（CISO）了解智能体系统在哪些方面可能更具韧性、哪些方面可能需要额外的控制措施，以及AI应用在面对现实环境中的对抗技术时会如何表现。
从政策到可衡量的行动
下一步是从一开始就将衡量机制融入AI决策。AI安全需要贯穿整个生命周期，涵盖模型评估、供应商审查、架构设计、部署、运行时保护、持续测试和持续监控。采用生命周期视角至关重要，因为AI风险会随时间变化。新的攻击技术不断出现，模型持续更新，供应商会调整其底层系统，而智能体工作流也会带来新的滥用途径。
对于首席信息安全官（CISO）而言，这意味着AI安全不能只是一次性的审批工作，而应成为一项持续开展的工作，将衡量和测试贯穿整个生命周期。
让AI风险管理有据可依
CISO既要支持AI应用，又要管理仍在不断演变的风险环境。他们需要推动创新，同时也要回应董事会、监管机构、客户和内部利益相关者提出的棘手问题。
哪些模型获准使用？哪些供应商可能会引入AI风险？哪些用例需要额外测试？在什么情况下，可以接受成本更低或速度更快的模型作为替代方案？又在什么情况下，这会带来过高风险？有哪些证据支持这些决策？
这些并非纯粹的技术问题，还涉及治理、采购和业务风险。要回答这些问题，越来越需要客观证据。
能够更快走向成熟的组织，将不再局限于非正式的AI审查，而是开始将衡量机制融入AI决策流程。这意味着在选择模型前对其进行评估，在扩大系统应用规模前进行测试，并随着模型、威胁、供应商和用例的变化，持续重新评估风险。
CISO不能等到部署阶段才衡量AI风险。更有力的决策应在生命周期的早期阶段作出。通过结合CASI、ARS以及F5 Labs持续提供的AI威胁情报，CISO可以让整个AI生命周期中的AI安全风险更直观、更有据可依，也更便于采取行动。
如需了解更多信息，请查阅F5 Labs研究成果。
关于作者
Lee Ennis负责领导F5的AI数据科学与研究团队，专注于开发先进的AI安全解决方案，帮助企业安全地部署和监控大语言模型（LLM）及生成式AI系统。他的团队融合机器学习、对抗性测试和模型保障方面的专业知识，以识别漏洞并增强AI驱动环境的可信度。
Lee Ennis 的更多博客文章
Louise Scully现任F5 AI安全与威胁情报产品营销高级经理。她长期深耕AI安全和企业技术领域，职业经历涵盖产品营销、产品管理、市场进入策略、传播、思想领导力和品类发展。加入F5之前，Louise曾负责CalypsoAI和Artomatix的营销工作，助力AI技术和研究成果走向市场。
Louise Scully 的更多博客文章相关博客文章
F5 2026年报告：AI推理时代已经到来，让本已复杂的IT环境更添挑战
F5最新发布的研究显示，大多数企业正将AI推理转移至内部运行，目前每家公司平均使用7个AI模型。
IL5/6救不了您：提示词注入威胁只读LLM
随着大语言模型（LLM）集成到美国国防部IL5/IL6环境中，了解F5解决方案如何保护数据、防范注入攻击并增强零信任模型。