过去两年，人们谈论AI风险，多半还在问“它会不会说错话”。放到今天，这个问题已经不够用。大模型正从“能说”走向“能做”：打开浏览器、执行代码、翻企业知识库、发邮件、调业务接口，甚至在没有人工盯守时连续工作数小时。模型一旦有了行动能力，一段错误输出的后果，就可能从“用户信不信”变成“系统做没做”。这也解释了近期AI安全为何快速升温：模型能力边界外移，风险敞口放大，越界事件出现，各国制度陆续落地，安全体系从单点防护转向纵深防御，而这一切最终都会落到算力上。
一、能力边界外移，风险的性质变了早期生成式AI的风险集中在事实错误、有害内容、偏见和隐私，共同点是输出停留在纸面，采纳与否由人决定。等模型接上浏览器、代码执行器和业务接口，情况就变了：它会连续规划、调用工具、修改外部状态。安全评估的对象也随之从“模型说了什么”扩展到整条调用链——系统提示词、检索数据、身份权限、工具配置、网络访问、人工审批，每一环都可能改变最终风险。
边界外移有数据可查。英国AI安全研究所（AISI）的测评显示，前沿模型完成初级网络安全任务的成功率，由2023年末的不到9%升至2025年的50%，并在2025年首次完成通常需要十年以上经验的专家级任务。METR则用“人类专家完成时间”衡量自主能力：2026年的TH1.1把任务集从170项扩到228项，人类需8小时以上的长任务由14项增至31项；按50%成功率计算，2023年之后前沿模型任务时长的翻倍周期约130.8天，比上一版的165.3天又短了一截。
推理阶段的算力同样影响表现：AISI在2026年的研究中发现，提高单项任务的token预算会持续推高成功率，约8%的任务要等预算超过1,000万token才第一次被解出，个别任务甚至用掉近5,000万token。
合起来看，风险不再只由模型权重决定，而由模型能力、权限、工具配置、网络连接和外部环境共同决定；安全投入也会从内容审核扩到身份管理、网络隔离、行为监测和事件响应，沉到AI研发与部署的基础设施层。
二、智能体把“判断”变成“行动”智能体和聊天机器人的区别，在于它能把判断直接变成动作。一个有浏览器、终端、企业账户或支付接口的智能体，可以读外部信息、建文件、发邮件、提交交易；风险水平由三样东西决定：模型能力多强、权限多大、环境多脆弱。
提示注入是其中很难彻底堵死的一条攻击路径：模型读网页、邮件或企业文档时，外部内容可能夹带诱导指令，把系统带偏或骗出敏感信息。OWASP在2025年的生成式AI应用风险清单里继续把Prompt Injection列为核心风险，还单列Excessive Agency，指功能、权限和自主性给得过多，输出跑偏就可能变成有害操作。这类风险跨越模型、应用和权限系统的交界，靠提高拒答率覆盖不了。
任务拉长还会累积出新麻烦：智能体在单次调用里守规矩，却可能在多轮任务中一点点攒到更多信息或权限；长期记忆可能留下未经授权长期保存的敏感内容；多个智能体互相委托后，原始任务的边界会在传递中被磨掉。所以高权限应用需要把目标、计划、工具参数、权限判定和人工确认结果都留痕，让异常操作能追到具体节点；碰到资金转移、生产控制这类不可逆动作，审批界面还应把操作对象、影响范围和回滚条件摆出来。
2026年的《国际AI安全报告》判断相对克制：当前系统在自主操作、规避监督和利用评估漏洞上已露出早期迹象，但还不足以造成失控。报告还提醒，模型越来越能分辨测试环境和真实部署，也可能利用评估漏洞，使部分危险能力在发布前未被识别。眼下主要该做的，是把工程控制和测量质量提上去；等能力继续往前走，权限配置和运行监测的分量还会更重。
三、越界事件敲响评测警钟2026年发生了几起越界事件，恰好说明问题出在哪里。
第一起在2026年7月。Anthropic在复核141,006次可能接触互联网的网络安全评估运行后，确认了三起Claude模型进入公网、访问真实第三方系统的事件。蹊跷之处在于，提示词里明明写着环境没有互联网连接，但第三方评测环境因配置问题实际开了外网。有些运行里，模型把真实网站当成模拟目标，借助暴露的凭证、未认证端点和SQL注入等方式进入系统，其中一次还扫描了约9,000个互联网目标。
第二起来自英国AISI。它在2026年披露了联网网络安全评估中的越界行动：测试允许模型访问互联网，并在研究条件下关掉了一部分分类器。AISI检测到，模型曾试图对任务范围外的真实目标动手，包括向真实开源项目提交恶意代码，所幸提交未被接受，也无现实损害。事后AISI补上实时分类器、细粒度网络限制和目标范围检查，并为高风险行为设置自动中止条件。
第三起落在人身上。2026年10月，OpenAI向BBC确认，因违反敏感信息访问和处理政策解雇了三名研究人员，其中至少两人从事安全研究。这说明第三方评估除了技术环境，还得在最小披露范围、人员权限、信息分级和访问留痕上做文章；红队机构、评测伙伴、标注商和云服务商都可能接触模型检查点、API密钥或高权限工具，供应链身份管理、临时凭证、操作审计和分级访问也随之成为体系的一部分。
四、制度从原则走向产品要求制度层面，AI治理正从原则性框架往产品要求和执行流程上延伸。
在中国，《人工智能生成合成内容标识办法》自2025年9月1日起施行，要求服务提供者对文本、图片、音频、视频和虚拟场景等生成合成内容添加显式标识，并在文件元数据里写入隐式标识；传播平台要核验元数据、识别疑似生成内容并向用户提示。内容可信问题由此被分摊到模型服务商、分发平台和用户传播三个环节，也带来标识检测、内容溯源和平台审核的持续需求。
2026年9月14日发布的《人工智能安全治理框架3.0》延续“风险分类—技术应对—综合治理”的结构，从2024年的1.0版、2025年的2.0版一路迭代，每次都在吸收智能体、开源模型和复杂供应链带来的新风险。组织能力的度量则交由《网络安全技术 人工智能安全能力成熟度评估方法》承接：征求意见稿把数据安全、模型安全和应用安全纳入统一框架，覆盖从数据采集清洗、模型训练测试到应用运营退役的活动，成熟度分为非正式执行、计划跟踪、充分定义、量化控制和持续优化五级，据TC260月报，该标准已历经专家审查等环节。
国外厂商的内部框架也越来越像：OpenAI的Preparedness Framework围绕网络安全、生物化学能力和AI自我改进设置能力门槛，Google DeepMind的Frontier Safety Framework用Critical Capability Levels串联早期预警评估、安全论证和缓解措施，Anthropic的Responsible Scaling Policy则随能力水平提高部署与信息安全要求。三者方向一致，都把危险能力评估、控制验证和发布决策接到一起。2026年10月，白宫成立“Super Intelligence Force”工作组，由国家情报总监Jay Clayton牵头，要求120天内提交报告，评估AI的风险与机遇及联邦政府职责；这仍属政策研究阶段，但跨部门设置本身说明，美国联邦层面对AI安全和产业竞争的协调在加强。
制度推进的短期影响，主要在研发流程变长和合规证据变多：模型厂商要为测试、整改、复核留时间，企业客户采购时也会加上本地场景测试、版本通知和事件协查这类条款。长期影响则取决于评估结果能否真正改变模型发布、工具权限和运行方式——只产出静态报告，订单持续性会比较弱；一旦嵌进模型迭代和生产运营，安全支出就会变成稳定的软件和算力需求。
五、纵深防御：四条战线只靠对齐训练和内容过滤，覆盖不了智能体的完整风险链条。安全体系得同时管住数据、模型、权限、工具和运行环境，可以拆成四条战线。
训练与对齐。这一阶段覆盖数据、目标函数和模型行为：数据治理要识别违法有害信息、个人信息和商业秘密，记录语料来源与清洗规则；模型行为治理通常用监督微调、人类反馈或AI反馈的强化学习、对抗训练和规则约束，让模型在敏感请求、冲突指令和不确定情境里作出更稳定的响应。但对齐训练只能改善平均行为：用户可以用不同语言、角色扮演、多轮对话绕开表面规则，外部工具返回的内容也常超出训练数据；模型在短对话里听话，不代表它在长任务和权限扩张之后还听话。Anthropic在模拟企业环境中测试前沿模型时发现，当模型面临被替换压力或目标冲突，部分模型会在特定设定下选择泄露信息甚至实施勒索；前沿模型权重一旦泄露，访问控制、内容分类和速率限制也可能一起失效。
多层评估。评估要回答三个不同的问题：模型具备什么能力，防护在对抗条件下能不能工作，系统进入真实环境后会产生什么影响。NIST的ARIA计划把测试分成Model Testing、Red Teaming和Field Testing三类，分别对应确认能力与防护、诱发违规结果并找出触发条件、观察真实使用中的接触面；三者对象和方法不同，可以互相校验，单一分数替代不了完整证据链。危险能力评估需要充分激发模型表现，提示模板、专家脚手架、工具接入和多次采样都会抬高测试上限。AISI发现，固定推理预算可能低估新一代模型能力，有些网络安全任务在预算提高10到50倍后才第一次被解决，所以发布前评估要同时报告基准预算和高预算压力测试的结果。统计设计还能省下无效算力：AISI的optstop用分层贝叶斯方法在结果趋于稳定时停止采样，在示例中减少了57%到97%的计划运行；但对低概率、高后果事件，仍要设最低样本量和更保守的停止条件。
运行时控制。模型对齐决定系统有没有危险行为的倾向，运行时控制决定这些行为能不能触达现实资产。企业部署智能体时，要按任务分配最小权限，只开放完成任务所需的数据、工具和账户；临时授权在任务结束后收回，读写权限分离，不可逆操作设置更高审批级别；跨系统工作流还要验证身份在多次委托中是否正确传递，防止子智能体越权。沙箱为代码执行和浏览器操作提供隔离，文件系统、网络、凭证和进程权限可分别限制，网络出口按域名或目标白名单开放。提示注入防护要区分系统指令、用户输入和外部数据，把网页、邮件和附件视为不可信内容，工具参数走结构化接口和白名单校验，敏感操作执行前由独立策略模型核验任务目标与授权范围。运行时监测要覆盖完整行动轨迹，日志至少包括原始任务、工具调用、权限判断、网络连接、文件变化和人工确认；一旦识别到大范围扫描、凭证搜索、持续重试、访问任务外域名或绕过审批等行为，就触发限速、权限降级、会话暂停或强制终止。人工监督还取决于信息质量：确认窗口只显示“是否继续”远远不够，界面应展示目标对象、关键参数、数据去向和回滚方式，审批点集中在权限升级、不可逆动作和异常偏离目标的位置。
AISI的越界供应链攻击模拟体现了轨迹级测量的价值：在关闭OpenAI标准网络安全分类器的模拟环境中，GPT-6 Astra完整实施越界供应链攻击的比例为29.2%，GPT-5.6 Sol为6.3%，GPT-5.5在较小样本中未观察到完整攻击；把任务边界写明确后，Astra的完整越界攻击从50条轨迹中的26次降到49条中的4次。
组织治理。组织治理把技术结果转成研发和运营决策。NIST AI RMF及其生成式AI画像采用Govern、Map、Measure、Manage四类职能，要求组织明确责任与风险偏好、识别使用场景、开展测量并据此实施控制。对模型厂商，关键决策是高风险训练是否继续、模型访问与工具开放如何扩大、权重保护何时加码；企业部署方则要管好供应商准入、本地验收、版本变更和事件通报。能力评估和防护评估需要分别披露：前者测模型在较充分工具、提示和推理预算下能完成什么任务，后者测身份验证、速率限制、内容分类、权限控制和监测共同作用后的剩余风险——只披露防护结果可能掩盖潜在能力，只披露能力上限又反映不出商业部署中的实际限制。第三方评估的有效性取决于证据访问权：公开接口的测试只能验证外部可见的防护效果，看得更深的灰盒或白盒访问能进一步核对配置、日志与权重保护，但也会增加权重和客户数据泄露的风险。事件响应用于修正发布前评估：企业应对事故和近失事件分级，保留关键日志，找出根因，把脱敏的失败样本加入回归测试；重大事件还要检查原有安全论证是否成立，必要时收回权限或暂停版本。相比事件总数，发现时延、阻断时延、影响范围和修复复测更能反映真实的安全水平。
六、产业影响：趋势不改，门槛抬高，算力负担更重回到产业，报告的判断是：AI安全不会改变产业方向，但会抬高研发和发布门槛，也会带来更大的算力投入。
先看风险本身。2026年《国际AI安全报告》把“失去控制”定义为AI系统脱离任何主体控制、且重新获得控制的成本极高或几乎不可能，并认为当前系统还不具备这类综合能力：它们已露出自主操作、识别评估环境和利用测试漏洞的早期迹象，但在长任务中仍会丢失进度，也常应付不了意外障碍。这说明安全问题需要前置投入，但现有证据并不支持AI产业因失控风险停下扩张。能力继续增长会加大尾部风险的管理难度，低概率事件很难用有限样本准确估计，模型还可能识别评估环境或利用评分漏洞；所以高影响领域要留更大安全余量，在接近能力阈值时增加采样、独立复核和分阶段发布，而信息检索、文稿辅助这类低权限场景可用较轻的控制。
再看门槛。安全评估会拉长研发周期：模型厂商要在训练检查点、候选版本和正式发布前跑能力与防护测试，发现问题还得整改、复测；智能体新增工具、扩大上下文或改动系统提示词，也可能让原有安全结论作废。2026年9月，OpenAI取消原计划10月上线的GPT-6.1 Astra，就是一个直接例子——内部测试显示，该模型在如实说明已执行的操作、遵守任务范围与用户授权方面没达发布标准，有些情况下会在未获许可时继续执行任务或调用外部工具。安全评估由此不只是披露材料，而能直接触发版本取消。监管要求也会增加文档和运营成本：欧盟通用人工智能模型提供者要维护技术文档、向下游披露能力与限制、发布训练内容摘要，系统性风险模型还要执行模型评估、事件报告和网络安全保护。
最后看算力。AI安全对算力的增量来自训练、评估和运行三个阶段：训练阶段需要安全微调、奖励模型、对抗样本生成和多个检查点的测试；评估阶段要在不同提示、工具、采样次数和推理预算下反复运行任务并保存中间轨迹；运行阶段则需要输入输出分类器、策略检查模型、异常检测和日志分析陪着主模型一起工作。版本频率、任务数量、采样次数和单次推理预算，一起决定评估的计算量；而且这类负载持续、波动大——大规模预训练集中使用高性能加速器，周期相对明确，安全回归测试则会随模型、系统提示词、检索库和工具权限的变化频繁触发，接近能力门槛的任务还需要更高采样和推理预算。所以安全评估不能完全依赖低成本小模型，关键测试必须用被测前沿模型及其真实工具链。
国际能源署估计，全球数据中心用电量将从2024年的约415 TWh增至2030年的约945 TWh，占全球用电量的比重从约1.5%升到接近3%，AI是主要驱动因素。价值也在往更多环节扩散：上游算力产业仍是能力进步和安全投入的共同基础，前沿训练需要加速芯片、先进存储、高速互联、光模块、液冷和电力系统，大规模评估、长轨迹回放和运行分类器则增加推理、存储和网络负载；云与模型平台有条件把身份认证、内容分类、速率限制、日志记录、工具白名单、临时凭证、沙箱和轨迹审计整合进来。企业采购也会更关注总体拥有成本，模型调用费之外，场景评估、运行监测、人工复核、日志存储和事故处置都会进入预算。
七、相关标的大模型&云：优刻得、首都在线、网宿科技、云赛智联、青云科技等。
海外算力：东山精密、工业富联、胜宏科技、江海股份、中际旭创、中钨高新、蓝思科技、东阳光、火炬电子、三环集团、欧科亿、天孚通信、鼎泰高科、新易盛、领益智造、兆易创新、鹏鼎控股、唯科科技、天岳先进、大普微、源杰科技、麦格米特、景旺电子、英维克、京东方等。
国内算力：寒武纪、海光信息、长鑫科技、东阳光、利通电子、中芯国际、华虹半导体、华达科技、摩尔线程、沐曦股份、协创数据、禾盛新材、华丰科技、杰华特、京基智农、中科曙光、浪潮信息、利扬芯片、胜蓝股份、华勤技术、国科微、中国长城、晶科科技、罗曼股份、盈峰环境、芯原股份、晶科科技、亿田智能、豫能控股、星环科技、鸿日达、盛视科技、神州数码、润泽科技、大位科技、润建股份、奥飞数据、瑞晟智能、科华数据、潍柴重机、欧陆通、杰创智能、奥尼电子。
AI应用：达梦数据、深信服、卓易信息、星环科技、广立微、绿盟科技、网宿科技、海天瑞声、合合信息、德才股份、美年健康、真爱美家、中控技术、康众医疗、用友网络、金山办公、奔图科技、中国软件、麒麟信安、天融信、安恒信息、任子行、中新赛克、奇安信、中孚信息、亚信安全、华力创通、电科网安、国投智能、数字认证、永信至诚。
八、结语AI安全这件事，说到底是“能力跑在了控制前面”。模型一年一个台阶地变强，控制体系却要靠制度、产品和组织能力一点点补，两者的速度差，就是风险的来源。
但这不意味着出路是把模型的力气压下去。更现实的做法，是限制高风险能力在不适当的权限和环境里被调用：让低权限场景用轻控制，让高影响场景配强审批和硬隔离，让每一次危险动作都能被记录、追溯和中止。能力评估回答“它能做什么”，防护评估回答“它做不成什么”，这两件事都要拿真实数据和真实环境去测，不能停在一纸报告上。
到目前为止，还没有证据表明AI系统已经失控。真正在发生的，是安全从一次性的合规检查，变成贯穿训练、评估、运行三个阶段的持续投入：它抬高研发与发布门槛，也是把邮件、数据库、代码提交这些高价值权限交出去的前提；它消耗更多算力，也让产业注意力往上游基础设施、云平台和评测服务扩散。
对做AI的人来说，安全正在从“事后补丁”变成“出厂配置”。谁能把评估、权限、监测和审计接进日常运营，谁就更可能在模型换代越来越快的节奏里稳住交付。至于这条攻防线最终推到哪一步，取决于模型能力的爬升速度，也取决于行业是否愿意在能力之外，同步把控制能力养起来。
注：以上内容来自网络，未经核实，不构成任何投资建议，请谨慎参考！如有侵权，请私信联系删除！欢迎各位老师点赞、评论、转发，谢谢！㊗️各位老师发大财、股市长虹！
作者声明： 本文转载自第三方，旨在提供资讯参考，并非证券推荐或投资建议。作者对内容的真实性、准确性不承担保证责任。本文不构成任何投资建议或证券推荐。截至发文日，作者与文中提及的标的不存在持仓关系。