9109篇论文画出AI安全地图:41%盯着训练,只有约8%管推理时安全

📋 摘要

AI安全早就不是小圈子话题了。但过去几年，它一直缺一张全景图。你问十个团队安全该怎么做，能得到十个答案，因为大家默认自己关注的那一块就是全部。这份报告打算先回答一个更笨的问题：论文到底写在哪。

报告由英国科学、创新与技术部委托兰卡斯特大学完成，覆盖2021年1月至2026年1月的9109篇同行评议文献，按语义匹配归入12个研究主题。口径先说清楚：它统计的是已经发表、经过同行评议的论文，不包含企业内部文档、未公开项目，也不包含安全事件记录。

所以它的价值边界很明确——这是一张论文地图，不是一张风险地图。

假设你负责一栋写字楼的安检。最直觉的做法是正门装最贵的设备、配最多的人。但实际出事的地方，往往是从后门进来的快递、维修工带的工具箱，还有临时接进来的那根网线。

AI安全的研究分布差不多就是这样。训练时安全约占41%，是整座金字塔的塔基，对应的是最经典的问题：训练数据里有没有有害内容、模型有没有学到不该学的模式、微调会不会把安全对齐洗掉。

这些当然重要。但训练结束只是模型生命周期的中点，不是终点。你把它部署出去、接上业务系统、让它自己调工具之后，故事才真正开始。

这份报告的方法不玄。它不是请一批专家投票，而是用一套可复现的流程给文献归类。你可以理解成一次大型图书上架：先把所有书搬到一起，再按主题分到不同架子上，最后数每层架子上有多少本。

这里有个口径细节值得留意：语义匹配归类一定存在边界模糊的情况。一篇同时讨论数据隐私和推理时安全的论文被归到哪一边，会直接影响最后的百分比。所以41%、26%、8%这些数字，更适合读成量级，而不是精确刻度。

结果是座金字塔。塔基是训练时安全，约占41%；第二层是数据与隐私风险，约占26%；越往上越窄，供应链漏洞、对齐问题、推理时安全各约占8%。报告认为，AI系统的全生命周期仍存在严重研究缺口。

举个具体例子。你用第三方API搭一个客服Agent，上线后它偶尔输出不合规话术。这个问题既不属于训练时安全，你根本没训练模型；也不完全属于数据隐私，数据没泄露。它落在推理时安全这一块，而这块的研究份额只有约8%。

供应链那块更微妙。你依赖的模型权重、向量数据库、推理框架、插件，都是别人做的。供应链漏洞研究只占约8%，意味着当这些依赖出问题时，公开可参考的研究和方法论相当有限。

对齐问题同样约8%，它讨论的是模型目标是否与人的意图一致。对让Agent自主执行多步任务的团队来说，这不是学术问题，是每天都要面对的问题。

输入是什么？一张你自己的系统生命周期清单，从数据采集、模型选择、训练或微调、部署、推理、依赖管理一路列到下线，每一环填上你实际做了什么、谁负责。输出是什么？两张表：一张覆盖表，列出有明确动作和验证方式的环节；一张盲区表，列出你只有一句「应该没问题」的环节。

验证方式不复杂。拿着盲区表去对照公开的安全框架和清单，看是不是每一条都能找到对应做法。预期结果通常是同一个：训练和数据环节能找到厚厚一叠文档，推理、供应链、对齐这三块能写满半页纸就算不错。

验收标准可以设得很朴素：六个环节里，至少四个能说出具体措施、负责人和验证方式；三个盲区里至少有一个已经安排了人跟进。做不到这两条，说明你还停在感觉没问题的阶段。

边界也要讲清楚。这套自检预测不了你会出什么事，只能告诉你哪些环节缺准备。如果你的系统完全跑在自研闭环里、不依赖外部组件，供应链那部分的参考价值会明显下降；反过来，如果你大量依赖第三方API和插件，那8%的空白就值得你多花时间。

论文分布不等于风险分布。某个方向论文少，可能是因为它难做、数据拿不到，也可能只是学术激励机制不偏好它，而不是因为那里风险小。这两种解释要分开判断。

它是文献计量，不是安全事件统计。报告没有统计真实世界里出过多少次事故，也没有说这些缺口已经造成过哪些损失。把它当成某种事故率排名，会得出完全错误的结论。

还有信息源层面的边界：这条消息目前主要来自媒体对报告的转述，完整的方法细节和分类标准还需要看原文确认。在这一点上，我倾向于把它当成一个值得跟进的信号，而不是可以直接引用的定论。

🔬 RESEARCH · 结论与边界

如果只能做一件事，我建议你今天打开自己系统的架构图，在模型推理那一层两边各画一格：左边写你依赖的外部组件，右边写模型上线后的输出控制。这两格如果现在是空的，它们大概率就是你最该先补的位置。趋势可以慢慢看，架构图上的空格骗不了人。