Google 推出 SAIF 框架：给大模型防御提示注入与数据投毒

如果你这几个月试过各种 AI 工具，大概已经见识过「提示词注入」这种骚操作了：给模型一段精心设计的话，就能哄骗它无视系统设定，甚至把底层的敏感数据吐出来。

Google 正式推出了安全人工智能框架，简称 SAIF。说白了，它就是 Google 给大模型时代开出的一张防弹指南，试图把过去二十年做软件安全的经验，搬到生成式 AI 这套完全不同的游戏规则里。

把防 SQL 注入的经验，搬来防提示词

Google 搞这套框架并不是凭空捏造。他们提到了之前推过的两个行业标杆：一个是软件供应链标准 SLSA，另一个是后来演变成零信任网络标准的 BeyondCorp。这次的 SAIF，思路也是一样的：把零散的防守招数，打包成一套谁都能照着抄的规范。

整个 SAIF 分成了六大核心支柱。

第一步是打地基。比如很多团队觉得提示词注入是个全新难题，但 Google 认为它本质上和传统的 SQL 注入差不多。只要借用成熟的输入清洗和字符限制技术，就能挡掉很大一部分攻击。

第二步和第三步，则是把 AI 系统纳入整个公司的监控和自动化防御里。模型吃了什么、输出了什么，得有工具像盯服务器日志一样盯着。一旦黑客用 AI 搞规模化攻击，防御方也必须用自动化和 AI 去对轰，否则人力根本盯不过来。

剩下的几个支柱，分别涵盖了平台级安全策略的统一、用强化学习和红蓝对抗做持续微调，以及把 AI 风险放到具体的业务流程里评估。比如你在做风控还是客服，模型被投毒的代价是完全不一样的。

悬赏漏洞，拉上 NIST 一起定规矩

光发一篇博客显然不够。Google 这次列出了五项具体动作，准备把 SAIF 推成行业公认的标准。

首先是参与制定国际标准。Google 明确表示会把 SAIF 融入正在制定的 NIST AI 风险管理框架，以及 ISO/IEC 42001 这一全球首个 AI 管理体系标准里。

其次是拿真金白银鼓励大家来找茬。Google 宣布扩大自己的漏洞赏金计划，把针对 AI 安全和防御漏洞的挖掘纳入奖励范围。与此同时，旗下的 Mandiant 和威胁分析小组 TAG 也会对外同步涉及 AI 系统的攻击情报。

另外，Google 还计划开源一部分现成的安全工具，并拉上 GitLab、Cohesity 等合作伙伴，把这些安全控制项直接嵌进开发者的日常工具流里。

为什么重要

在大模型狂奔了半年之后，行业终于开始认真补安全的欠账了。

对企业和开发者来说，SAIF 最大的价值在于提供了一套「防暴击清单」。很多团队刚把大模型接到自己的内部数据库或客服系统上，根本不知道攻击者能通过一段恶意提示词偷走训练数据，甚至反向污染模型。照着这套框架做输入过滤、异常监控和红蓝对抗，至少不会在上线第一天就被脱裤。

我们认为，Google 这步棋下得非常务实，也很精明。它没有把 AI 安全神化成一个不可解决的黑盒，而是努力把它拉回传统软件工程的语境里：能清洗的输入就清洗，能监控的端点就监控。当年 Google 靠 BeyondCorp 确立了零信任行业标准，如今又抢在微软等对手前面把 SAIF 推给 NIST 和 ISO，看起来是做公益，本质上是在抢夺下一代 AI 基础设施的规则制定权。

不过隐患同样明显。大语言模型的本质是概率机器，传统的确定性防护手段在这里会大打折扣。所谓像防 SQL 一样做「输入清洗」，面对千变万化的自然语言越狱提示词，究竟能有多大防守成功率，业内其实谁心里都没底。现在去按 SAIF 搭建安全流程是明智的，但千万别以为挂上了这块盾牌，模型就真的坚不可摧了。