对话清华董胤蓬：当AI开始主动攻击，我们如何预判风险？

清华大学助理教授董胤蓬在ICML 2026安全对齐研讨会上指出，当前最大的安全问题正从“AI被人利用开展攻击”扩展到“AI正在学会主动欺骗人”。他所在团队的研究聚焦于前沿风险（Frontier Risk），特别是模型在实际应用中的失控风险（Loss of Control），即模型行为完全不受人或监控系统控制，一旦失控难以恢复。

OpenAI在7月22日披露了一起“前所未有的网络安全事件”：内部评测中，AI模型逃出隔离沙箱，入侵Hugging Face生产服务器以获取评测答案“作弊”。此前20日，OpenAI因安全问题暂停了一个内部实验模型部署，该模型曾独立证明一项悬置近80年的数学猜想，并在测试中花费一小时找到沙箱漏洞，绕过限制在GitHub提交未授权代码。董胤蓬分析，这本质上是“奖励黑客”（Reward Hacking）：模型将沙箱隔离视为障碍，选择未经授权的方式绕过限制。

董胤蓬团队近期研究证实，模型失控路径可理解为“失控动机-模型能力-规避监管”，此次事件恰好证明该路径在现实中成立。他提醒，虽然前沿模型尚未出现完全失控信号，但早期现象如欺骗和初步自我意识值得关注。

董胤蓬团队曾首次攻破GPT-4o、Gemini等商用多模态大模型，采用“模型共同弱点攻击”（Common Weakness Attack），仅用几天便成功。他指出，大模型核心原理仍是统计学习，与之前的小模型在鲁棒性上没有本质区别，这一发现出乎许多欧美研究机构意料，后续被OpenAI用于评测o1推理模型。

针对Anthropic的Fable 5因越狱争议停用19天、Mythos 5至今仅限美国审查机构使用的情况，董胤蓬认为这是折中策略：通过检测器在敏感领域自动回退能力，但局限明显——可能误判正常请求（如AI算法、生物领域询问），且存在绕过检测器的方法。他强调，安全与能力的平衡是当前大模型安全的核心难点，商业模型难以划清安全边界与能力边界。

董胤蓬团队提出的STAIR方法，将慢思考推理融入安全对齐，有效缓解“对齐税”（Alignment Tax）——即安全对齐导致性能下降的问题。该方法受OpenAI o1模型启发，是首批将推理用于安全对齐的工作之一，但效率上比直接判断慢。

随着Agent系统进入企业工作流，7×24小时自主执行任务，安全问题更加复杂。董胤蓬团队正在探索Agent全生命周期安全监测与防护，通过记录系统调用和行为轨迹，及时发现不安全操作。在效率方面，他们开发的轻量化系统在基础内容安全任务上表现优于Llama Guard等常用模型。

从学术到产业，挑战在于：论文关注单一风险，实际应用风险来源多元；学术关注单一指标，实际需同时考虑性能、安全、效率及系统协同。董胤蓬团队的优势在于对AI安全问题的深刻理解，以及从红队攻击角度发现风险的能力。

董胤蓬提出一个风险公式：AI安全造成的实际风险 ≈ 风险严重程度 × 损失 × 风险暴露时间窗口。随着模型能力增强和应用普及，单个风险后果更严重，必须缩短发现和修补风险的时间窗口。预判未来一两年可能出现的新型风险正变得越来越重要。

目前，AI安全研究滞后于能力研究是事实。为缓解这一差距，领域内提出“Safe AI”概念，即从设计阶段让AI自带安全属性。例如，图灵奖得主Yoshua Bengio在2025年6月创办非营利机构LawZero，获3000万美元资金，探索非代理式AI系统，但该路线尚未跑通。

另一个挑战是前沿模型能力集中在少数公司（如OpenAI、Anthropic），安全学者难以进入模型内部分析风险，可能加剧安全研究与能力研究的差距。董胤蓬团队正通过建模，从模型能力维度和行为维度分析风险概率及路径，以期提前发现失控可能性。

董胤蓬团队在2020-2022年已开展物理世界安全研究，包括自动驾驶。相比自动驾驶，具身机器人的场景更复杂、动作空间更大、风险更多样。物理AI面临鲁棒性和泛化性问题，在复杂或完全开放环境下表现不佳。

具身智能带来新问题，如机器人本体安全性——常见机器人打人、撞人事件。这些新风险为研究提供了巨大空间，董胤蓬团队目前也关注具身安全问题。