人工智能正在變得越來(lái)越聰明，它們不僅能理解文字，還能聽(tīng)聲音、看圖片、觀視頻。這聽(tīng)起來(lái)很棒，但也帶來(lái)了一個(gè)讓人擔(dān)心的問(wèn)題：如果有人想利用這些AI做壞事怎么辦？比如，有人可能會(huì)想方設(shè)法讓AI告訴他們?nèi)绾沃圃煳ｋU(xiǎn)物品或者傳播有害信息。

為了確保AI的安全性，研究人員需要像安全專(zhuān)家測(cè)試銀行保險(xiǎn)庫(kù)一樣，不斷嘗試"攻破"AI的防線(xiàn)，看看它們是否會(huì)被誘導(dǎo)說(shuō)出不該說(shuō)的話(huà)。然而，現(xiàn)有的測(cè)試工具就像只能用文字寫(xiě)紙條的古老方式，無(wú)法應(yīng)對(duì)AI現(xiàn)在能處理聲音、圖片和視頻的復(fù)雜情況。

杜克大學(xué)的研究團(tuán)隊(duì)開(kāi)發(fā)了一個(gè)名為MUSE（多模態(tài)統(tǒng)一安全評(píng)估）的創(chuàng)新平臺(tái)，這項(xiàng)研究成果發(fā)表在2026年的學(xué)術(shù)期刊上，論文編號(hào)為arXiv:2603.02482v1。MUSE就像是給AI安全測(cè)試裝上了"多媒體大腦"，讓研究人員能夠用各種方式——文字、語(yǔ)音、圖片、視頻——來(lái)測(cè)試AI的安全防線(xiàn)。

一、像拆解魔方一樣理解AI的弱點(diǎn)

傳統(tǒng)的AI安全測(cè)試就像只用一種工具試圖撬開(kāi)一扇復(fù)雜的門(mén)。研究人員發(fā)現(xiàn)，當(dāng)他們只用文字來(lái)測(cè)試AI時(shí)，就像盲人摸象一樣，只能了解到AI安全性的一小部分?，F(xiàn)在的AI系統(tǒng)能同時(shí)處理多種信息類(lèi)型，就好比一個(gè)能同時(shí)聽(tīng)、說(shuō)、看的機(jī)器人管家，但現(xiàn)有的測(cè)試工具卻還停留在只會(huì)發(fā)紙條的階段。

MUSE平臺(tái)的創(chuàng)新之處在于它能像變形金剛一樣，將同一個(gè)測(cè)試內(nèi)容轉(zhuǎn)換成不同的形式。當(dāng)研究人員想測(cè)試AI是否會(huì)泄露制作危險(xiǎn)物品的方法時(shí)，MUSE可以將這個(gè)問(wèn)題變成語(yǔ)音形式讓AI聽(tīng)到，或者制作成圖片讓AI觀看，甚至合成成視頻讓AI分析。這種多維度測(cè)試就像用不同角度的燈光照射一塊寶石，能發(fā)現(xiàn)平時(shí)看不到的瑕疵和弱點(diǎn)。

更巧妙的是，MUSE還引入了"跨模態(tài)切換攻擊"技術(shù)。這就像在談話(huà)中突然改變溝通方式——先用文字問(wèn)AI一個(gè)看似無(wú)害的問(wèn)題，然后用語(yǔ)音追問(wèn)更敏感的內(nèi)容，接著又用圖片繼續(xù)施壓。這種不斷變換"攻擊角度"的方式，就像武術(shù)中的連環(huán)招式，往往能突破AI原本穩(wěn)固的防線(xiàn)。

二、把復(fù)雜測(cè)試變成點(diǎn)擊鼠標(biāo)的簡(jiǎn)單操作

想象一下，如果測(cè)試AI安全性需要像編程一樣復(fù)雜，那么大多數(shù)研究人員都會(huì)望而卻步。MUSE的設(shè)計(jì)哲學(xué)就是把復(fù)雜的事情變簡(jiǎn)單，就像把專(zhuān)業(yè)的攝影設(shè)備包裝成傻瓜相機(jī)一樣易用。

研究團(tuán)隊(duì)將整個(gè)測(cè)試流程設(shè)計(jì)成了一個(gè)"以運(yùn)行為核心"的系統(tǒng)。這里的"運(yùn)行"就像游戲中的一局對(duì)戰(zhàn)記錄，完整保存了測(cè)試的每一個(gè)細(xì)節(jié)：使用了什么策略、向AI說(shuō)了什么話(huà)、AI如何回應(yīng)、最終結(jié)果如何。這種設(shè)計(jì)讓研究人員能像回看游戲錄像一樣，隨時(shí)查看和分析每一次測(cè)試的完整過(guò)程。

平臺(tái)提供了一個(gè)直觀的網(wǎng)頁(yè)界面，研究人員只需要像網(wǎng)購(gòu)一樣點(diǎn)幾下鼠標(biāo)就能啟動(dòng)復(fù)雜的安全測(cè)試。他們可以從下拉菜單中選擇要測(cè)試的AI模型（比如GPT-4o或者Claude），選擇攻擊策略（比如漸進(jìn)式施壓或者高壓脅迫），然后設(shè)定要測(cè)試的有害內(nèi)容類(lèi)別（比如武器制造或者網(wǎng)絡(luò)詐騙）。剩下的工作就交給MUSE自動(dòng)完成，它會(huì)像勤勞的小蜜蜂一樣不知疲倦地進(jìn)行各種測(cè)試組合。

三、五個(gè)層次判斷AI的"節(jié)操"程度

以前的AI安全評(píng)估就像考試只有通過(guò)和不通過(guò)兩個(gè)結(jié)果，這種簡(jiǎn)單粗暴的評(píng)判方式會(huì)錯(cuò)過(guò)很多重要信息。MUSE引入了一個(gè)更精細(xì)的五級(jí)評(píng)判系統(tǒng)，就像給AI的安全表現(xiàn)打分一樣詳細(xì)。

這五個(gè)等級(jí)分別是：完全配合（AI直接提供了有害信息）、部分配合（AI提供了一些有害信息但不完整）、間接拒絕（AI避開(kāi)了問(wèn)題但沒(méi)有明確拒絕）、直接拒絕（AI明確表示不能協(xié)助）、無(wú)相關(guān)回應(yīng)（AI的回答完全不著邊際）。這種分級(jí)就像醫(yī)生診斷病情時(shí)不只說(shuō)"有病"或"沒(méi)病"，而是詳細(xì)描述病情的嚴(yán)重程度。

基于這個(gè)五級(jí)系統(tǒng)，MUSE提供了兩種不同的成功率指標(biāo)。"硬攻擊成功率"只計(jì)算AI完全配合的情況，就像只統(tǒng)計(jì)考試滿(mǎn)分的人數(shù)。"軟攻擊成功率"則同時(shí)包括完全配合和部分配合的情況，就像統(tǒng)計(jì)所有及格的人數(shù)。兩者之間的差異被稱(chēng)為"灰色地帶寬度"，它揭示了AI在完全拒絕和完全配合之間的模糊地帶有多大。

這種精細(xì)化評(píng)估讓研究人員能夠發(fā)現(xiàn)一些之前被忽視的重要現(xiàn)象。比如，某個(gè)AI雖然沒(méi)有直接提供制作炸彈的完整步驟，但可能會(huì)提到一些相關(guān)的化學(xué)原理。在舊的二元評(píng)判系統(tǒng)中，這可能被簡(jiǎn)單歸類(lèi)為"安全"，但新系統(tǒng)會(huì)將其識(shí)別為"部分配合"，提醒研究人員注意這種潛在的信息泄露風(fēng)險(xiǎn)。

四、讓AI在多輪對(duì)話(huà)中"露出馬腳"

單輪對(duì)話(huà)測(cè)試就像只問(wèn)一個(gè)問(wèn)題就想了解一個(gè)人的全部想法，顯然是不夠的。真正的威脅往往來(lái)自于精心設(shè)計(jì)的多輪對(duì)話(huà)，就像詐騙分子會(huì)通過(guò)一步步的引導(dǎo)來(lái)獲取受害者的信任和信息。

MUSE集成了三種經(jīng)過(guò)驗(yàn)證的多輪攻擊策略。第一種叫"漸強(qiáng)音攻擊"，就像音樂(lè)中的漸強(qiáng)一樣，從完全無(wú)害的問(wèn)題開(kāi)始，逐步升級(jí)到敏感內(nèi)容。比如先問(wèn)"如何保護(hù)家庭安全"，然后問(wèn)"家庭安防系統(tǒng)的弱點(diǎn)"，最后問(wèn)"如何繞過(guò)安防系統(tǒng)"。如果AI在某一步拒絕回答，系統(tǒng)會(huì)自動(dòng)后退一步，從不同角度重新嘗試。

第二種策略叫"成對(duì)攻擊"，它不依賴(lài)對(duì)話(huà)歷史，而是每次都生成全新的單輪提示。系統(tǒng)會(huì)根據(jù)AI的回應(yīng)評(píng)分，然后重新制作更有針對(duì)性的問(wèn)題。這就像射擊時(shí)根據(jù)前一發(fā)子彈的落點(diǎn)來(lái)調(diào)整瞄準(zhǔn)，每次都更接近目標(biāo)。

第三種是"暴力榴蓮攻擊"，從一開(kāi)始就使用高壓策略，通過(guò)偽裝權(quán)威身份或制造緊急情況來(lái)給AI施壓。這種方法就像直接用大錘砸門(mén)，雖然粗暴但往往出人意料地有效。

最創(chuàng)新的是MUSE提出的"跨模態(tài)切換"技術(shù)，它會(huì)在多輪對(duì)話(huà)中不斷變換信息傳遞方式。可能第一輪用文字問(wèn)問(wèn)題，第二輪用語(yǔ)音，第三輪用圖片，第四輪又回到文字。這種不斷變換的方式就像武術(shù)中的"亂披風(fēng)劍法"，讓AI的防御系統(tǒng)難以適應(yīng)，從而更容易出現(xiàn)安全漏洞。

五、大規(guī)模實(shí)驗(yàn)揭示驚人發(fā)現(xiàn)

為了驗(yàn)證MUSE的有效性，研究團(tuán)隊(duì)進(jìn)行了一場(chǎng)規(guī)模龐大的實(shí)驗(yàn)，總共進(jìn)行了約3700次測(cè)試。他們選擇了六個(gè)來(lái)自四家不同公司的主流AI模型，包括OpenAI的GPT-4o、Google的Gemini系列、Anthropic的Claude Sonnet 4，以及阿里巴巴的Qwen系列模型。

實(shí)驗(yàn)的結(jié)果令人震驚。在單輪測(cè)試中，所有AI模型都表現(xiàn)出色，拒絕有害請(qǐng)求的成功率都在90%以上，有些甚至達(dá)到100%。然而，當(dāng)面對(duì)多輪攻擊時(shí)，這些看似堅(jiān)不可摧的防線(xiàn)瞬間崩塌。漸強(qiáng)音攻擊能夠?qū)λ辛鶄€(gè)模型達(dá)到90-98%的攻擊成功率，成對(duì)攻擊在五個(gè)模型上達(dá)到96-100%的成功率。

這就像一個(gè)有趣的對(duì)比：?jiǎn)屋啘y(cè)試中的AI就像訓(xùn)練有素的門(mén)衛(wèi)，能夠識(shí)別并拒絕明顯的威脅；但在多輪對(duì)話(huà)的攻擊下，它們就像被巧舌如簧的推銷(xiāo)員說(shuō)服的普通人，逐漸失去了警惕性。

更有趣的發(fā)現(xiàn)是，跨模態(tài)切換技術(shù)雖然不總是能提高最終的攻擊成功率，但能夠顯著加快"破防"速度。研究發(fā)現(xiàn)，當(dāng)AI在對(duì)話(huà)中遭遇模態(tài)切換時(shí)，它們?cè)谠缙谳喆蔚姆烙鶗?huì)變得不穩(wěn)定。這就像一個(gè)人在聊天時(shí)如果對(duì)方突然從打字改為語(yǔ)音通話(huà)，可能會(huì)一時(shí)適應(yīng)不過(guò)來(lái)而說(shuō)漏嘴。

最讓研究人員意外的是，不同品牌的AI對(duì)同一種攻擊方式的反應(yīng)完全不同。比如，對(duì)于Gemini系列模型，使用非文字方式（語(yǔ)音或圖片）傳遞信息反而更容易成功，攻擊成功率提高了2-6個(gè)百分點(diǎn)。但對(duì)于Qwen系列模型，情況完全相反，非文字方式的攻擊成功率反而降低了，圖片攻擊的成功率最多下降了14個(gè)百分點(diǎn)。

這個(gè)發(fā)現(xiàn)就像發(fā)現(xiàn)不同品牌的鎖需要不同的開(kāi)鎖技巧一樣重要。它提醒我們，AI安全不能采用"一刀切"的測(cè)試方法，而需要根據(jù)不同模型的特點(diǎn)制定針對(duì)性的安全評(píng)估策略。

六、這項(xiàng)研究對(duì)我們意味著什么

MUSE平臺(tái)的出現(xiàn)標(biāo)志著AI安全測(cè)試進(jìn)入了一個(gè)新時(shí)代。對(duì)于普通用戶(hù)來(lái)說(shuō)，這意味著我們?nèi)粘Ｊ褂玫腁I助手將變得更加安全可靠。就像汽車(chē)在出廠前需要經(jīng)過(guò)各種碰撞測(cè)試一樣，AI系統(tǒng)現(xiàn)在也能接受更全面、更嚴(yán)格的安全評(píng)估。

對(duì)于AI開(kāi)發(fā)者而言，MUSE提供了一個(gè)強(qiáng)大的"安全體檢"工具。他們可以在AI系統(tǒng)發(fā)布前發(fā)現(xiàn)潛在的安全漏洞，就像軟件測(cè)試中的調(diào)試過(guò)程一樣重要。這種提前發(fā)現(xiàn)和修復(fù)安全問(wèn)題的能力，能夠避免AI系統(tǒng)在實(shí)際使用中被惡意利用。

研究還揭示了一個(gè)重要問(wèn)題：不同AI模型的安全弱點(diǎn)各不相同，這就像不同品牌的汽車(chē)有不同的安全特點(diǎn)一樣。這提醒監(jiān)管機(jī)構(gòu)和安全研究人員，需要為每種AI模型制定專(zhuān)門(mén)的安全評(píng)估標(biāo)準(zhǔn)，而不能簡(jiǎn)單地采用統(tǒng)一的測(cè)試方法。

另一個(gè)重要啟示是多輪對(duì)話(huà)攻擊的威力。這告訴我們，AI的安全防護(hù)不能只關(guān)注單次交互，還需要考慮長(zhǎng)期對(duì)話(huà)中的累積風(fēng)險(xiǎn)。這就像防范詐騙不能只看單個(gè)信息，還要關(guān)注整個(gè)詐騙過(guò)程的演進(jìn)一樣。

MUSE的開(kāi)源特性也讓更多研究人員能夠參與到AI安全研究中來(lái)。這種開(kāi)放合作的模式就像眾人拾柴火焰高，能夠加速AI安全技術(shù)的發(fā)展。當(dāng)更多人使用和改進(jìn)這個(gè)平臺(tái)時(shí)，我們就能更快地發(fā)現(xiàn)和解決AI安全問(wèn)題，讓人工智能真正成為人類(lèi)的安全助手。

未來(lái)，研究團(tuán)隊(duì)還計(jì)劃擴(kuò)展MUSE的功能，包括支持本地部署的開(kāi)源模型、擴(kuò)展視頻輪轉(zhuǎn)攻擊功能，以及通過(guò)人工標(biāo)注來(lái)驗(yàn)證五級(jí)判斷系統(tǒng)的準(zhǔn)確性。這些改進(jìn)將讓MUSE變得更加強(qiáng)大和可靠，為AI安全研究提供更好的工具支持。

說(shuō)到底，MUSE平臺(tái)的出現(xiàn)提醒我們，隨著AI技術(shù)的快速發(fā)展，安全評(píng)估方法也必須跟上時(shí)代的步伐。就像網(wǎng)絡(luò)安全需要不斷更新防護(hù)措施來(lái)應(yīng)對(duì)新的威脅一樣，AI安全也需要更先進(jìn)、更全面的測(cè)試工具。MUSE為我們提供了這樣一個(gè)工具，讓我們能夠在享受AI帶來(lái)便利的同時(shí)，也確保它們不會(huì)被惡意利用。這項(xiàng)研究不僅推動(dòng)了學(xué)術(shù)界對(duì)AI安全的理解，更為整個(gè)社會(huì)安全使用人工智能鋪平了道路。有興趣深入了解技術(shù)細(xì)節(jié)的讀者可以通過(guò)arXiv:2603.02482v1查詢(xún)完整論文。

Q&A

Q1：MUSE平臺(tái)到底是什么，它和普通的AI測(cè)試有什么不同？

A：MUSE是杜克大學(xué)開(kāi)發(fā)的AI安全測(cè)試平臺(tái)，它的特別之處在于能夠用多種方式測(cè)試AI的安全性。就像以前只能用文字問(wèn)AI問(wèn)題，現(xiàn)在可以用語(yǔ)音、圖片、視頻等各種方式來(lái)測(cè)試，還能在對(duì)話(huà)中不斷切換這些方式，看AI會(huì)不會(huì)在某種情況下"說(shuō)漏嘴"。

Q2：為什么多輪對(duì)話(huà)攻擊比單輪測(cè)試更容易讓AI泄露有害信息？

A：這就像詐騙分子不會(huì)一上來(lái)就要你的銀行密碼，而是先聊家常建立信任，然后一步步引導(dǎo)你透露信息。多輪對(duì)話(huà)攻擊也是這樣，先從無(wú)害問(wèn)題開(kāi)始，逐步升級(jí)到敏感內(nèi)容。AI在對(duì)話(huà)過(guò)程中可能會(huì)逐漸失去警惕性，最終泄露本來(lái)不該說(shuō)的信息。實(shí)驗(yàn)顯示，這種方法的成功率可以達(dá)到90-100%，遠(yuǎn)高于單輪測(cè)試。

Q3：跨模態(tài)切換攻擊為什么會(huì)讓AI的防御變得不穩(wěn)定？

A：當(dāng)AI在對(duì)話(huà)中突然遇到信息傳遞方式的變化時(shí)，比如從文字突然切換到語(yǔ)音或圖片，它的防御機(jī)制可能會(huì)出現(xiàn)短暫的"適應(yīng)期"。就像一個(gè)人在聊天時(shí)如果對(duì)方突然從打字改為語(yǔ)音通話(huà)，可能會(huì)一時(shí)不適應(yīng)。研究發(fā)現(xiàn)，這種模態(tài)切換會(huì)讓AI在早期輪次的拒絕率下降，更容易透露部分敏感信息。