AI 安全最近在圈子里真的是高频词尤其是那份“通用型 AI 智能体 L1-L5 分级安全框架白皮书”出来之后很多做模型、做 Agent、做 RAG 的朋友都在转。我也把这份东西从头到尾啃了一遍结合自己实际在项目里踩过的坑发现这个分级框架确实切中了一个核心要害AI 安全过去都在聊“模型安全”而接下来真正要命的是“智能体行为安全”。这篇文章不打算复述白皮书的目录而是想从一个从业者的视角聊聊我对这个框架的理解、它在实际工程里怎么落地、以及做 AI 安全方向到底需要哪些实打实的能力。先说清楚AI 安全不是一个新话题。早些年大家关心的是对抗样本、数据投毒、模型窃取后来大模型起来了又开始聊提示注入、越狱、幻觉、隐私泄露。这些虽然是安全问题但基本都停留在“模型本身”的维度。而通用型 AI 智能体也就是能自主调用工具、做规划、执行任务的 Agent出现后安全问题直接升维了因为模型不再是单纯的“问答机器”它成了一个能对真实世界产生影响的行动主体。它能调 API、能改配置、能发邮件、能操作数据库那问题就来了如果它被恶意引导或者它自己理解错了后果是真实的不是吐一段错误文本那么简单。这就是为什么 L1-L5 分级安全框架会引起这么多讨论它其实是用一个非常成熟的类比——自动驾驶分级——来解决智能体安全责任界定难的问题。你不可能用一种安全标准套住所有智能体就像你不能要求 L2 辅助驾驶的车和 L5 无人驾驶的车承担同样的安全责任一样。分级的意义在于先定义清楚你这个 Agent 在什么级别再讨论你该承担什么责任、该做哪些安全验证、该上哪些护栏。下面我拆开来讲。1. 为什么 AI 安全讨论会聚焦到“分级框架”上1.1 智能体时代的到来让安全问题变了性质在纯聊天模型阶段安全问题再严重本质上是“信息层面”的。模型说错话、泄露了训练数据里的隐私、被诱导输出违规内容这些都是输出内容的问题影响范围可控。但智能体不一样它有了“行动闭环”感知环境、做决策、执行动作、观察结果、再调整决策。这个闭环只要跑起来就必须假设它有出错的概率而且出错的影响是落在真实世界里的。我做过的项目里有一个很典型的例子用 LLM 自动处理客户工单模型需要调用 CRM 系统的 API 去修改用户信息。开发的时候大家都觉得模型理解能力很强不会出错结果灰度测试阶段就出现了一次事故模型把两个相似工单的客户名称搞混了直接调用了更新接口把 A 客户的联系方式改到了 B 客户名下。还好还在测试环境但这次事故给了团队很大的震动也让我意识到一件事智能体的安全评估评估的绝不仅仅是模型的“智力”而是整个系统在真实环境下的“行为安全”。但麻烦在于不同智能体的自主性差异太大了。有的智能体只是“工具调用初阶版”每一步都要用户确认有的智能体则是一个完整的业务闭环被授予了很大的自主决策权。如果对所有智能体都套用同一套安全标准要么标准太低难保高级别智能体不出事要么标准太高低级别的智能体根本部署不动。分级成了必然的选择。1.2 从自动驾驶分级借鉴来的思路为什么是合理的L1-L5 这个分级逻辑大家应该很熟悉自动