AI安全实战

如果你已经在做安全，或者正在往 AI 方向转，大概会遇到一个尴尬：传统安全那套东西——防火墙、WAF、漏扫、应急响应——放在 AI 系统上，有些地方对不上。模型不是普通的服务，它会把训练数据里的东西以奇怪的方式吐出来，会被几行精心构造的提示词绕过，会在你根本没写代码的地方产生风险。这门《AI安全实战》针对的就是这个缺口。

先搞清楚：这门课补的是哪块能力

它不是讲 AI 怎么赋能安全（比如用模型做告警降噪、日志分析），方向反过来，是讲 AI 系统自身怎么被攻击、怎么防。所以如果你期待的是"用大模型做安全运营"，这门课不是那个路子。

它要补的能力大致分三层：

• 认知层：知道 AI 系统有哪些独有的攻击面——提示注入、越狱、训练数据投毒、模型窃取、对抗样本，这些和传统漏洞的区别在哪。
• 操作层：能动手复现常见攻击，能看懂一次 AI 安全事件是怎么发生的，而不是只停留在名词解释。
• 防护层：能把防护措施落到具体系统上，比如邮件系统这类真实场景里怎么加一层 AI 相关的检查。

邮件系统安全被单独拎出来讲，是有道理的。钓鱼邮件、恶意附件、伪造发件人这些问题，现在越来越多地要靠模型去识别，而模型本身又会被对抗样本欺骗。攻防在同一条链上，这是这门课比较实在的地方。

学之前，先确认自己缺的是不是这个

比较适合的起点是：你懂基本网络与系统安全概念（至少知道什么是认证、授权、常见 Web 漏洞），同时对机器学习有概念性了解（知道训练、推理、模型这些词指什么，不需要会调参）。

如果这两样都缺，建议先补一边再来。AI 安全是交叉领域，两边都空着，学起来会变成背名词。

反过来说，如果你已经有渗透测试或安全开发经验，但面对一个接了模型的系统不知道从哪下手测试，那这门课的针对性就比较强。

看的过程中，带着这几个问题

• 提示注入和传统注入（SQLi、命令注入）在原理上像在哪，不像在哪？为什么不能简单套用输入过滤的思路？
• 一个模型被投毒后，表现可能是"变得更差"还是"看起来正常但特定输入下出错"？怎么发现？
• 对抗样本在邮件检测场景里具体长什么样？攻击者成本有多高？
• AI 系统的日志和传统系统日志有什么不同，出事后取证要看什么？
• 面对模型输出的不可控性，防护到底该放在模型前、模型里还是模型后？

这些问题如果在学完后能自己讲清楚、并说出理由，说明这门课的核心内容吃进去了。如果只能复述术语，那多半是没动手。

配套练习怎么做才不白学

这类实战课最容易犯的错是"看完了，没跑过"。建议的做法是：每学一个攻击类型，至少自己在本地环境里搭一次、打一次、再修一次。提示注入就找个开源对话应用试；对抗样本就用现成框架跑一个图像或文本的例子；邮件安全那块，可以拿一份真实的钓鱼邮件样本，看看模型判成什么样、换几个字会不会翻转结论。

不用追求把每个方向都做深，但至少要有一个方向是自己完整走过一遍的——从构造输入，到观察模型行为，到加一层缓解措施，再看效果有没有变化。这个过程里踩的坑，比记住十个攻击名词有用。

最后提醒一句：涉及攻击技术的练习，全部放在自己可控的环境里，别拿线上系统试手。这不是套话，是这门课涉及的很多手法本身就处在灰色地带，边界感得自己拿住。