LLM评估：通过安全评分建立信任

F5 ADSP | 2025年6月30日

Jessica BrennanAI安全高级产品营销经理 | F5

随着企业加速采用AI，大语言模型（LLM）评估已不再只关注性能，还关乎信任。安全团队不仅必须验证模型的性能，还必须验证其行为是否安全。然而，大多数评估框架侧重于准确性基准，导致安全和风险因素定义模糊或未得到衡量。

这种不明确性会带来风险。如果缺乏可解释、可进行基准比较的安全指标，就无法以可信的方式比较模型、证明其韧性，也无法在决定如何及在何处部署AI时根据风险进行调整。

F5与企业安全负责人合作数月以来，他们反复表达了同一个担忧：“我们需要向内部利益相关者解释评分的含义、评分的得出方式，以及可以采取哪些措施来提高评分。”

本文将介绍如何通过了解目前构成GenAI安全评估基础的两项互补评分来建立这种信任：综合AI安全指数 （CASI）和智能体抵抗力评分 （ARS）。

当前AI安全“评分”存在的问题

企业测试AI模型时，通常只能得到以下两种结果之一：二元结果，即模型是否被攻破；或是模糊的风险评级，即低、中或高，但几乎没有详细信息。

当AI系统投入生产并开始与敏感数据、外部用户或下游智能体交互时，这两种方法都难以满足实际需求。

安全负责人不仅需要了解攻击成功率，还需要洞察：

严重程度：成功的攻击有多危险？
复杂性：利用该模型的难度有多大？
上下文：在实际环境、多轮交互或应用级使用场景中，模型是否会失效？

F5开发了评分系统，用于应对AI系统不同层面的安全问题。这些系统与用于评估企业风险的成熟安全框架保持一致。

使评分与企业风险保持一致

行业框架和标准可帮助组织评估AI风险、了解潜在漏洞，并建立更一致的治理和安全方法。例如，OWASP大语言模型应用十大安全风险、NIST AI风险管理框架和ISO/IEC 42001分别从不同角度审视AI风险。

OWASP 大型语言模型应用十大风险

非营利基金会OWASP（开放全球应用安全项目）发布了一份由社区成员评估的LLM应用十大威胁清单。该排名旨在同时反映风险的影响和发生可能性，但从业人员的投票结果不一定反映现实攻击的普遍程度。因此，尽管从业人员将提示词注入列为LLM应用的首要风险，但它并不属于现实中最常见的十大安全事件。

NIST AI风险管理框架

2023年，美国国家标准与技术研究院（NIST）发布了《人工智能风险管理框架》（AI RMF），为管理与AI相关的风险提供实用指导。

作为风险管理最佳实践的一部分，该框架根据“可信”AI的特征和“危害”维度来衡量模型行为。例如，如果AI系统无法提供准确、无偏见的结果（7项可信度衡量指标中的2项），并且可能对个人、组织或社会造成危害（涵盖全部3项危害衡量指标），则该系统可能被视为存在风险。可信度和危害程度不同，需要采取的措施也不同。

ISO/IEC 42001:2023

国际标准化组织（ISO）和国际电工委员会（IEC）联合发布了一项关于负责任地管理AI系统的标准，重点关注企业级治理、问责机制和运营控制。在评估风险时，该标准鼓励组织审视AI漏洞、伦理失范或运营错误可能对组织目标、安全或社会责任产生的影响。组织应通过评分（采用1至5分制）评估风险发生的可能性及其影响。不太可能导致技术故障的风险得分较低，而可能造成合规违规的风险得分较高。随后，将计算得出的总体风险与组织的风险接受标准进行比较。

重要的是，这三个框架均不采用非通过即不通过的二元评分，而是对风险的潜在严重程度及其影响进行分级。同样，F5也会对大语言模型（LLM）进行细粒度评分，帮助领导者更审慎地比较不同模型及其抵御威胁的能力。

CASI：模型的安全基因

The 综合AI安全指数（CASI）不仅衡量越狱成功率，还帮助团队提高LLM评估流程的安全严谨性。CASI采用0–100分制对基础模型进行评分，评分因素包括：

影响严重程度：并非所有故障的严重程度都相同。泄露凭据比回答常识性问题更严重。
攻击复杂度：仅用简单措辞即可攻破的模型，其安全性不如需要采用高级对抗策略才能攻破的模型。
防御失效临界点：模型的对齐机制会在多短时间内、什么条件下失效？

这让安全团队能够选择韧性较强的模型，而不只是选择那些能通过简单测试的模型。

例如，阿里巴巴的Qwen3在CASI评测中表现出较强竞争力，表明其模型级防御能力较强。然而，在采用智能体方法进行测试时，它未能抵御更复杂的持续攻击。这凸显了仅评估模型的局限性。

这些结果发布在 F5 Labs上。该公开资源会定期更新，并根据真实场景中的红队测试对使用广泛的大语言模型进行排名。与传统性能图表不同，该排行榜可帮助企业从安全性、风险、成本和系统级韧性等方面比较模型，是企业开展有依据的大语言模型评估的重要工具。

ARS：当模型成为系统

CASI用于衡量基础模型的韧性，但未考虑系统级行为。因此，需要引入智能体抗性评分 （ARS）。

ARS衡量AI系统（包括任何智能体、检索工具或编排层）抵御持续性自适应攻击的能力。这些测试由自主对抗智能体执行，它们会：

从失败的尝试中学习
跨多个轮次串联攻击
以隐藏提示词、向量存储和检索逻辑为目标

ARS评分范围为0–100分，涵盖三个维度：

所需复杂程度：攻击者需要具备多高的技术水平？
防御持久性：系统能抵御多长时间？
反情报能力：即使系统阻止了初始威胁，是否仍会暴露有用的攻击线索？

ARS评分越高，意味着AI系统不仅在孤立环境中具备安全性，还能抵御上下文相关的智能体攻击。这类攻击模拟了真实威胁行为者已在实际环境中测试的攻击手法。

抵御现实环境中的漏洞

CASI和ARS模型均用于检验抵御现实威胁的能力。CASI衡量对提示词注入或越狱攻击等威胁的抵御能力，而ARS则评估对多步骤攻击的抵御能力，例如诱导智能体在未经适当授权的情况下执行操作。

这些分数发布在每月排行榜上，反映了模型的最新更新。例如，Anthropic的Claude Fable 5在该公司解决一个严重的越狱威胁后，于2026年8月首次登上排行榜。

越狱攻击是提示词注入的一种，攻击者通过操纵模型，使其违反自身的安全协议。Anthropic于2026年6月首次发布Claude Fable 5后，研究人员很快发现该模型可被越狱。Anthropic暂时停用该模型，以重新训练其安全分类器。这项工作取得了成效：研究人员所述的技术随后在超过99%的情况下被阻止。因此，该模型从8月起在CASI排行榜上名列前茅，并在9月获得98.03分。

当然，新版本更新并不保证能更有效地抵御威胁。xAI的Grok 4.3获得了70.28的CASI评分。但即使新版本的能力评分有所上升，Grok 4.5的CASI评分仍降至45.20。

安全负责人为何需要CASI和ARS

评估AI部署的安全负责人，尤其是在评估涉及RAG架构、自主智能体或复杂编排工作流的部署时，需要从多个层面审视可信度。CASI有助于选择基础模型。它可以判断模型的内置防御机制是否足够稳健，能够满足企业级应用的要求。ARS可验证部署。它可以揭示自定义工作流或集成系统是否引入了新的漏洞，即使基础模型评分较高也不例外。

透明度推动行动落地

评分只有能够推动决策，才有实际价值。安全负责人告诉我们，他们需要：

可解释的评分方法，可与风险委员会和产品团队共享。
清晰的量化指标，可用于基准比较、持续跟踪和改进。
应用感知型红队测试，可揭示系统级弱点（而不仅仅是模型缺陷）。

因此，我们会公布评分方法，在红队测试报告中提供提示词级日志，并支持对模型和AI系统持续开展安全测试。

对AI的信任并非源于含糊的保证，而是源于反映实际风险的评分、模拟真实威胁的测试，以及能够切实推动改进的报告。

信任源于行动，而非口头宣称

AI的可信度取决于所采用的评估和监控流程。模型和系统层面的透明安全评分，可为安全团队提供安全部署GenAI所需的通用语言、证据和信心。

对于业务涉及受监管行业、高风险领域或面向用户的AI智能体的企业而言，这种信心不可或缺。

常见问题

什么是AI安全平台？为什么标准网络安全措施不足以保护AI系统？

标准网络安全解决方案可以有效保护数据、应用和网络，但并非针对AI系统和智能体面临的特有威胁而设计。AI安全平台具备专门的防护能力，可保护AI应用、服务、模型和智能体免受未经授权的访问、篡改、恶意攻击及其他威胁。

CASI和ARS等安全评分模型如何与NIST AI RMF等框架保持一致？

美国国家标准与技术研究院（NIST）的人工智能风险管理框架（AI RMF）等框架，为评估和管理AI风险及可信度提供指导。同样，F5 Comprehensive AI Security Index（CASI）和Agentic Resistance Score（ARS）提供量化安全指标，可帮助组织评估模型和系统的韧性。