Google 推出 SAIF 框架：給大模型防禦提示注入與資料投毒

如果你這幾個月試過各種 AI 工具，大概已經見識過「提示詞注入」這種騷操作了：給模型一段精心設計的話，就能哄騙它無視系統設定，甚至把底層的敏感資料吐出來。

Google 正式推出了安全人工智慧框架，簡稱 SAIF。說白了，它就是 Google 給大模型時代開出的一張防彈指南，試圖把過去二十年做軟體安全的經驗，搬到生成式 AI 這套完全不同的遊戲規則裡。

把防 SQL 注入的經驗，搬來防提示詞

Google 搞這套框架並不是憑空捏造。他們提到了之前推過的兩個行業標杆：一個是軟體供應鏈標準 SLSA，另一個是後來演變成零信任網路標準的 BeyondCorp。這次的 SAIF，思路也是一樣的：把零散的防守招數，打包成一套誰都能照著抄的規範。

整個 SAIF 分成了六大核心支柱。

第一步是打地基。比如很多團隊覺得提示詞注入是個全新難題，但 Google 認為它本質上和傳統的 SQL 注入差不多。只要借用成熟的輸入清洗和字元限制技術，就能擋掉很大一部分攻擊。

第二步和第三步，則是把 AI 系統納入整個公司的監控和自動化防禦裡。模型吃了什麼、輸出了什麼，得有工具像盯伺服器日誌一樣盯著。一旦駭客用 AI 搞規模化攻擊，防禦方也必須用自動化和 AI 去對轟，否則人力根本盯不過來。

剩下的幾個支柱，分別涵蓋了平臺級安全策略的統一、用強化學習和紅藍對抗做持續微調，以及把 AI 風險放到具體的業務流程裡評估。比如你在做風控還是客服，模型被投毒的代價是完全不一樣的。

懸賞漏洞，拉上 NIST 一起定規矩

光發一篇部落格顯然不夠。Google 這次列出了五項具體動作，準備把 SAIF 推成行業公認的標準。

首先是參與制定國際標準。Google 明確表示會把 SAIF 融入正在制定的 NIST AI 風險管理框架，以及 ISO/IEC 42001 這一全球首個 AI 管理體系標準裡。

其次是拿真金白銀鼓勵大家來找茬。Google 宣佈擴大自己的漏洞賞金計劃，把針對 AI 安全和防禦漏洞的挖掘納入獎勵範圍。與此同時，旗下的 Mandiant 和威脅分析小組 TAG 也會對外同步涉及 AI 系統的攻擊情報。

另外，Google 還計劃開源一部分現成的安全工具，並拉上 GitLab、Cohesity 等合作伙伴，把這些安全控制項直接嵌進開發者的日常工具流裡。

為什麼重要

在大模型狂奔了半年之後，行業終於開始認真補安全的欠賬了。

對企業和開發者來說，SAIF 最大的價值在於提供了一套「防暴擊清單」。很多團隊剛把大模型接到自己的內部資料庫或客服系統上，根本不知道攻擊者能通過一段惡意提示詞偷走訓練資料，甚至反向汙染模型。照著這套框架做輸入過濾、異常監控和紅藍對抗，至少不會在上線第一天就被脫褲。

我們認為，Google 這步棋下得非常務實，也很精明。它沒有把 AI 安全神化成一個不可解決的黑盒，而是努力把它拉回傳統軟體工程的語境裡：能清洗的輸入就清洗，能監控的端點就監控。當年 Google 靠 BeyondCorp 確立了零信任行業標準，如今又搶在微軟等對手前面把 SAIF 推給 NIST 和 ISO，看起來是做公益，本質上是在搶奪下一代 AI 基礎設施的規則制定權。

不過隱患同樣明顯。大語言模型的本質是機率機器，傳統的確定性防護手段在這裡會大打折扣。所謂像防 SQL 一樣做「輸入清洗」，面對千變萬化的自然語言越獄提示詞，究竟能有多大防守成功率，業內其實誰心裡都沒底。現在去按 SAIF 搭建安全流程是明智的，但千萬別以為掛上了這塊盾牌，模型就真的堅不可摧了。