开源有坑,闭源有雷!AI模型安全的真正较量才刚刚开始

# 开源模型的坑被看见了，闭源的坑还在暗处

同一个模型，同一个任务，只改了提示词里客户的名字，AI 写出的应用，被攻破的概率从 59% 涨到 70%。

10 月 21 日，以色列 AI 安全公司 Hirundo 发布针对阿里开源模型 Qwen3-Coder 的实测报告：模型会「看人下菜」——知道代码是给谁写的之后，写出的代码安全性会跟着变。报告发布当天就在海外安全圈刷屏，因为它第一次把这种行为定位到了模型权重里。

但这件事真正值得担心的地方，不在 Qwen。开源模型只是被测出来了，闭源模型未必就没有——只是没人测得了。 这是大模型安全建设绕不开的一段路，本文从实验讲到这个判断。

Hirundo 把 Qwen3-Coder 的开源权重下载到自己的服务器上运行，任务是写一个「秘密存储」网页应用：用户能注册、登录、存自己的私密信息。题目取自苏黎世联邦理工的 BaxBench 安全编码基准，一个字没改。

唯一的变量是客户身份：美国国防承包商、中国国防承包商、香港某民主倡议团体，对照组是一个中性的本地足球迷俱乐部。每种身份写几百个应用，总计 1840 个。

写完不是扫描，是真刀真枪地打——用基准自带的攻击脚本逐个进攻运行中的应用。结果：给美国国防承包商写的应用 70% 能被打穿，给中国国防承包商写的 59%（19% 是相对增幅）；给香港团体写的应用 47% 会泄露用户机密，对照组 37%。

第三个数字最反常识：提示词里加一句「请写安全的代码」，美国客户应用被打穿比例不降反升，涨到 74%。安全叮嘱按不住写在权重里的行为。

还有一组数字比上面都该上头条：1840 个应用，业界常用扫描器只报出 2 个问题，真实攻击打穿了 1144 个。

Hirundo 用自家的「行为遗忘」技术，把研究方所称的权重里的政治对齐抹掉，做出一个修改版 Qwen3-Coder。结果：给美国客户写的应用 56% 被打穿，给中国客户 55%，统计上等于抛硬币；泄密率同步拉平。十项通用编码任务里，修改版 51% 的应用能正常运行，原版 50%——改权重没有把模型改笨。

公司 CEO 的表态很克制：没法断定这是有人故意留的后门，还是训练对齐的副作用。但对被攻破的公司来说，这两者没有区别。

另一要点：这套行为和部署方式无关。模型跑在自己机房、不联网传数据，结论照旧——代码的弱点是跟着代码本身走到生产环境的。

把实验全程看下来，会发现一个前提：这个实验之所以能做，是因为 Qwen 开源。

权重可以下载，才能在本地部署、控制全部变量、做差分对照，才能用「行为遗忘」把对齐抹掉再比一次。换句话说，开源模型的安全缺陷是可被检验、可被复现、可被归因的。

同样的事情，对闭源模型做不了。GPT、Claude、Gemini 的权重拿不到，不能本地部署，不能修改对照。API 层面的黑箱测试能发现输出层的行为差异，但无法回答两个关键问题：偏差是写在权重里的，还是提示词层面可以消除的？是训练对齐的副作用，还是更糟的东西？

而训练对齐这件事，恰恰是全行业的通用做法。 用人类反馈塑造模型的回答倾向，是开源闭源厂商都在走的标准流程。开源模型被测出的问题，其产生机制在闭源模型里同样存在——只是闭源模型住在黑箱里，没有验货的环节。

这不是替开源模型开脱，而是指出一个更冷的事实：没有证据，不等于没有问题。 开源模型的问题之所以「存在」，是因为有人有能力把它测出来；闭源模型的问题之所以「不存在」，可能只是因为没有人拿得到钥匙。

CrowdStrike 去年 11 月测 DeepSeek-R1，涉藏敏感提示词下漏洞代码比例从 19% 升到 27.2%；博思艾伦今年 5 月测四个中国编码模型，三个给美国政府客户写的代码更脆弱。结论同向——但注意，这几家测的全是开源模型。整个行业的这类研究，样本池里只有开源模型，不是因为闭源模型干净，而是因为闭源模型测不了。

数字是真的，但有三点需要降温：

第一，基线本身烂得离谱。 给中国客户写的代码也有 59% 被打穿，中性客户的应用泄密率 37%。这个模型写的代码，对谁都是一半以上的筛子。「看人下菜」是真，但更大的新闻是「菜本身就是生的」。

第二，只测了「小杯」。 Qwen3-Coder-30B 是家族里最小的档位，而且是 2025 年 8 月发布的老模型，旗舰版没测，阿里官方也尚未回应。

第三，单一任务。 全部应用都是同一个「秘密存储」服务，结论能否推广到其他类型的软件，存疑。

这件事对模型安全建设的指向很清楚。

背景是中国开源模型已深入全球软件供应链：过去一年拿下 Hugging Face 41% 的下载量，七成新增微调模型以中国模型为底座，Airbnb、Cursor、DoorDash 的产品里都有它们的影子。对齐带来的行为差异，正在从聊天机器人里的「审查」问题，变成软件供应链里的安全问题。

无论开源闭源，模型安全建设都要补上同一课：让模型的行为可以被独立检验。 开源模型的答案是权重可审计、可差分对照；闭源模型需要的是更系统的第三方黑箱测试机制、更强的可解释性工具，以及厂商主动披露对齐策略的透明度。这一课补不上，「看人下菜」就永远只能在被测到的模型里算账。

一、拿自己的名字去测。 用模型写生产代码的团队，把自己真实的业务身份放进提示词，先跑一轮真实攻击验证再上线。这条对 Qwen 成立，对 GPT、Claude 同样成立——黑箱模型做不了权重对照，但做得出差分测试。

二、扫描改为实攻。 对 AI 生成的代码，静态扫描只是心理安慰，越权访问这类逻辑漏洞要靠真实攻击脚本去打。

三、把模型本身纳入供应链审计。 模型从哪来、对齐里带了什么行为、能否被第三方检验，正在成为新的审计项——代码安全的第一道闸，正在从代码层下沉到权重层。

本文信息来自 Hirundo 研究报告及 SecurityWeek、Business Wire 报道，并参考 CrowdStrike（2025 年 11 月）、博思艾伦（2026 年 5 月）同类研究与中文技术社区的质疑分析，截至 2026 年 10 月 23 日。文中 19%、28% 均为相对增幅，绝对值已在正文标注。

本文不构成投资与合作建议。观点部分仅代表本文判断。