开放安全AI联盟成立：构建AI防御开源生态

开源软件是全球经济的支柱，而AI安全的下一个战场，正从“模型权重是否公开”转向“整个智能体技术栈是否可被防御者掌控”。2026年7月27日，NVIDIA联合Adobe、Akamai、Microsoft、IBM、Hugging Face等超过70家行业领袖宣布成立开放安全AI联盟（Open Secure AI Alliance），其核心判断是：在AI安全领域，开放不仅是道德选择，更是技术上的唯一可行路径——因为封闭系统在关键时刻会让防御者“失明”。

从“闭源防御”到“开源军备”：一个联盟的诞生逻辑

联盟的成立并非凭空而来，它直接建立在Linux基金会的Akrites倡议和OpenSSF社区工作之上。这标志着AI安全治理从“监管讨论”进入了“工程实施”阶段。联盟的使命非常具体：用开放技术来修复漏洞、披露风险，并构建一个任何防御者都能研究、适配和部署的防御体系。

这里的关键转变在于，过去两年关于AI安全的争论焦点集中在“模型是否开源”上，而联盟的成立将问题重新定义为：防御工具是否开放。正如开源软件创造了软件的共享基础，美国及其伙伴在AI安全上面临的选择是——保护基础设施的防御系统，是藏在少数不透明的黑盒里，还是建立在任何防御者都能研究、修改和部署的开放模型与工具之上。

为什么说“开放”是网络安全的唯一解？

联盟给出了一个在逻辑上几乎无法反驳的论证：对于网络安全而言，开放模型和开放工具是必需品，而非奢侈品。理由有四层。

第一，开放能民主化防御能力。当防御工具是开放的，任何规模的企业、任何国家的关键基础设施都能获得与顶级科技公司同等的防御能力，而不是依赖少数供应商的“施舍”。

第二，开放能增加防御者的透明度。安全工作的本质是“可知性”——你必须知道系统在做什么，才能发现异常。封闭模型就像一台无法打开引擎盖的汽车，出了故障只能拖回原厂。

第三，开放能在保护数据的同时实现网络防御。许多企业（尤其是金融、医疗、政府机构）的数据不能离开自有基础设施，只有开放权重和开放工具能让他们在本地运行前沿AI进行防御分析。

第四，开放能补充前沿封闭模型，提供可定制化、本地化的控制。没有单一故障点的大规模分布式社区防御，远比依赖几个集中式黑盒系统更健壮。

关键案例：Hugging Face事件的“实战检验”

文章引用了近期发生的Hugging Face安全事件作为开放防御价值的决定性证据，这个案例极具说服力。当Hugging Face遭受入侵时，他们需要分析超过17,000个动作来定位入侵路径。然而，他们使用的封闭AI工具无法区分攻击者与防御者，直接阻止了关键的取证分析。

在那种分秒必争的时刻，Hugging Face在自己的基础设施上运行了开放权重的GLM 5.2模型，成功完成了取证分析并遏制了入侵。这个案例揭示了一个残酷的实践真理：当防御者无法检查、适配并在自己的基础设施上运行先进AI时，他们的响应能力在最需要速度的时刻被严重制约。

这个案例的深层含义在于：封闭AI系统的“安全”假设是虚假的。它假设“不让你看内部逻辑”就能防止攻击者利用，但实际效果是“连防御者也被蒙在鼓里”。在安全领域，信息的不可见性从来都是双刃剑——它既防了攻击者，也废了防御者。

开放模型的“滥用风险”：承认但不妥协

联盟没有回避开放模型可能被滥用的风险，而是正面回应了“开放模型本质上更不安全”的论点。文章承认，开放模型确实可能被用于削弱安全防护或改造为网络攻击工具，但紧接着给出了一个关键反驳：这些风险在封闭系统中同样存在，而且封闭权重并不能阻止坚定的攻击者。

更重要的判断是：正确的应对不是拒绝让防御者接触强大的开放系统，而是将开放性与强有力保障措施相结合——包括明确禁止恶意使用的规则、严格的评估体系、快速修复机制。在网络安全领域，更安全的路径是赋予更多防御者测试、验证和加固社会赖以生存的系统能力。这个逻辑与“枪支管制”的辩论如出一辙：禁枪不会让坏人消失，只会让好人手无寸铁。

## 智能体时代的防御栈：从“模型”到“全套件”

联盟的另一个核心洞见是：AI智能体不仅仅是一个语言模型，而是一个由模型、工具架（harness）和护栏（guardrails）组成的复杂系统。真正的AI安全与保障取决于完整的智能体技术栈——身份管理、权限控制、工具架、护栏、日志和评估——而不仅仅取决于模型权重是否开放。

NVIDIA在这次联盟中贡献了开放模型、权重、数据以及新的智能体工具架研究。其中，NVIDIA Labs面向对象智能体（NOOA）项目已上线GitHub，它使工具架能更好地与模型集成，让智能体行为更容易测试、追踪、审计和治理。这是将“AI安全”从口号变成工程实践的关键一步。

## 联盟成员的技术贡献：一个“开放防御栈”的拼图

联盟成员贡献的技术方案勾勒出了未来AI防御栈的完整蓝图，每个组件都解决特定的安全问题。

HPE贡献了SPIFFE/SPIRE，这是零信任身份框架的标准和方法，能用密码学方式验证AI智能体和服务，确保只有经过授权的工作负载才能通信和访问企业资源。这解决了AI智能体“你是谁”的问题——在智能体自主行动的时代，身份验证是安全的第一道门。

Hugging Face将Safetensors（一种安全存储AI模型权重的格式，提供透明度并保证不执行远程代码）贡献给了PyTorch基金会。这解决了模型加载过程中的代码执行风险——一个看似技术性但致命的漏洞点。

IBM和Red Hat的Lightwell通过数字签名补丁将安全扩展到开源供应链。Microsoft的MDASH多模型智能体扫描工具架编排专门的AI智能体来发现、辩论和证明可利用的漏洞——这本身就是“用AI对抗AI”的典范。

SpaceXAI则开源了Grok Build终端AI编码智能体，并计划开源Grok系列模型的权重。这一举动具有象征意义——连最前沿的AI实验室都承认，开放是建立信任的唯一途径。

## 对政策制定者的直接呼吁：开放是资产，不是负债

联盟对政策制定者和监管者发出了明确的呼吁：在AI和网络安全政策中，必须将开放模型、工具架和安全工具视为防御资产，而非负债。文章警告，对开放前沿AI系统的一刀切限制会削弱防御能力，并将权力、依赖性和脆弱性集中在少数封闭供应商手中。

这个观点直指当前全球AI监管的核心矛盾。欧盟的《AI法案》、美国的行政命令都在讨论如何限制开源模型的“不可控风险”，但联盟的逻辑是：限制开源模型等于在数字时代放弃“人民战争”的防御策略。当攻击者可以轻易获得强大的AI工具时，防御者如果只能用受限的、滞后的封闭工具，结果必然是防御体系的结构性溃败。

文章建议，公司和政府应该像过去几代人投资开源软件一样，投资AI防御的共享开放基础设施——数据集、评估框架、攻击模拟器和红队工具。这意味着AI安全不能靠每个企业“各扫门前雪”，而必须建立类似“公共图书馆”的共享防御资源。

## 未来的分岔路：开放安全 vs. 秘密安全

文章在结尾描绘了一个清晰的未来选择：AI智能体时代可以是具有韧性和共享安全的时代，但前提是做出正确的选择。这个未来不会靠“保密即安全”的假设来实现，而是靠公开构建来实现。

这个判断的深意在于，它否定了AI安全领域的一种流行幻觉——即“我们只要把最强大的模型锁在保险柜里，坏人就拿不到”。现实是，最强大的模型最终都会以某种形式流出（无论是通过泄露、蒸馏还是其他技术手段），真正决定安全格局的是：当攻击者已经拥有前沿AI能力时，防御者是否也拥有同等级别的、可自由使用的工具。

开放安全AI联盟的成立，本质上是在为这场不对称战争做准备。它承认了一个残酷的现实：在AI时代，安全不再是一个“产品”，而是一个“生态”。这个生态必须建立在开放、可审计、可修改的基础上，否则防御者将在与攻击者的军备竞赛中永远慢半拍。

对于行业从业者而言，这个联盟的信号意义远大于具体技术贡献：如果你的安全策略建立在“使用某个封闭的AI安全产品”上，那么你正在构建一个注定失败的防御体系。真正的安全能力，将属于那些能够在自己基础设施上运行、检查、修改AI防御工具的组织。这不仅是一个技术选择，更是一个生存策略。