业界正在讨论前沿AI应以多快的速度发展。Anthropic和OpenAI披露的事件进一步加剧了这场争论：在评估环境中，采用较少安全防护措施运行的模型采取了远超任何人预期的行动。它们访问了本应与其隔离的系统，并在本应彼此隔离的实例之间进行协同。最近，Anthropic首席执行官Dario Amodei提出，应有意控制前沿AI能力的开发节奏，并让独立评估人员进驻实验室进行验证。
各方对该提议的反应并不一致。AI实验室关注的是开发流程：一次训练能为模型增加多少能力、模型在发布前应接受多全面的评估，以及相关标准应由行业自愿遵守还是由监管机构强制执行。另一些人则认为，前沿AI将按自身节奏发展，世界其他地区也不会放慢脚步，因此必须在模型周边系统的设计中融入安全机制。
我无意在此为这场争论下定论，但有一点值得注意：双方都认同，控制措施应设在模型之外，验证工作也不应完全由模型的构建者负责。
这进一步拓展了我在5月提出的观点。当时我写道，AI的安全边界已转移到推理路径。应用调用模型，智能体调用工具，而模型则会访问其他服务，以检索数据、触发工作流并执行运维操作。我的结论是，这类流量需要像其他关键应用交互一样进行传输、检查、身份验证和治理。
这原本是一个架构层面的论点，但在过去几个月里，它也开始成为一个合规问题。前沿技术的发展节奏并不等同于企业的采用节奏。无论实验室和政府最终达成何种共识，已经发布的模型如今正在我们的组织内部部署，与其使用相关的义务也已逐渐成形。
根据我的经验，安全路线图上的事项分为两类。一类是您认为值得推进的事项，它们需要与其他所有事项争夺预算，有时会落选。另一类则有明确的截止日期，审计人员会过问，并且已列入风险登记册。AI防护机制正从第一类转向第二类。如果您在这个行业从业已久，对此应该不会陌生。
“前沿领域的发展节奏并不等同于企业的采用节奏。无论实验室和政府最终达成何种共识，已经发布的模型如今都在组织内部部署，与其使用相关的义务也已逐渐成形。”
PCI DSS带给我们的启示
我们以前做过这样的尝试。2008年之前，Web应用安全在很大程度上还停留在愿景层面，主要依靠定期代码审计、静态扫描和开发人员的自律。随后，PCI DSS要求6.6出台，要求处理持卡人数据的组织审查所有应用代码是否存在漏洞，或在面向公众的应用前部署自动化技术控制措施。
其中有两点让我至今印象深刻。
PCI DSS最初并非法律，而是由业内人士为抢在监管之前采取行动而制定。它是一项通过收单机构协议执行的合同标准，但仍重塑了整个市场。事实上，由于合同的推进速度快于立法，其影响市场的速度可能也比立法更快。这一点很重要，因为组织最先感受到这种压力，可能并非来自监管机构，而是来自客户安全调查问卷、采购条款，或保险公司对其模型前端部署了哪些控制措施的询问。
再看最终结果。在PCI DSS v4.0中，二选一的做法已被取消。代码审查不再是替代方案；要求6.4.2现已规定，必须在面向公众的Web应用程序前部署自动化技术解决方案。
如今，已无人再问是否可以选择不遵循PCI合规要求。曾经的可选项已成为强制要求。
当前的AI监管现状
AI监管的宽松期已经结束。类似支付卡行业数据安全标准（PCI）的AI监管要求正沿多条路径以不同速度同步推进。其中，《欧盟人工智能法案》进展最为成熟。该法案针对通用模型的义务已开始实施。尽管欧盟近期将高风险AI相关规定的执法时间推迟至2027年12月，但对技术稳健性、人工监督和日志记录的要求已经明确。企业往往忽视的是，其中一些义务不仅由模型提供商承担，企业自身也需要承担。如果企业将第三方模型用于高风险场景，就必须承担相应责任。
美国目前尚无类似的法规，但NIST AI风险管理框架及其生成式AI配置文件已成为许多组织为履行合理注意义务而采用的标准。在认证方面，ISO/IEC 42001也发挥着类似作用。事实上，我已开始在采购文件中看到这一标准。美国多个州已提出多项法案，涵盖透明度、信息披露和特定用途规则；与此同时，金融和医疗监管机构也在讨论针对具体场景的指导方针。
此外，《OWASP 大型语言模型应用十大安全风险》现已成为安全审查中的标准参考资料。客户向供应商发送有关AI控制措施的调查问卷时，其中的问题往往就源自这份资料。
通读这些材料，会发现同一项要求反复出现：证明能够持续约束模型的输入和输出，并在事后生成记录。
这首先是运营问题，其次才是合规问题
我们的《2026 年应用策略现状报告》发现，目前55%的应用组合已启用AI，企业平均在推理路径中运行7个模型。超过半数（52%）的企业正在串联或编排多个模型，90%的企业预计将通过共享基础设施路由推理请求。
现在设想一下，审计人员要求证明，所有这些环节都执行了同一项策略，例如，模型生成结果不得泄露任何客户个人身份信息（PII）。
仅靠逐一配置7个模型，无法回答这个问题。当其中3个模型串联起来，前一个模型的输出成为后一个模型的输入时，就更无法回答。与我交流过的大多数组织甚至还没走到这一步，因为他们着手排查时，首先发现的根本不是自托管模型，而是员工将敏感数据粘贴到面向消费者的AI工具中，以及其现有SaaS应用中已悄然启用的AI功能。
再将智能体纳入其中，需要控制的单元就不再是提示词，而是具体操作，包括工具调用、API请求及其触发的工作流。这正是我们过去20年来一直为应用流量构建的策略执行点。
同样的智能体能力已被攻击者掌握，他们正以机器速度发起协同攻击。正如我们从机器人防御中认识到的那样，我们不能再根据这类流量表面上的复杂程度来判断它，而应根据其来源和意图对其实施管控。
Guardrails必须位于模型之外
越来越多的组织开始运行自己的模型，即在自有基础设施上部署开放权重模型，并使用自有数据进行微调。由于提供商不提供安全保障，组织必须自行承担全部运营和合规责任。
逐个模型进行审计无法规模化。原则上，十几种模型配置尚可采用这种方式，我也见过有团队这样做。但这种方式依赖人工操作，一旦有人启动新端点，审计结果便会过时，而且得到的只是某一时点的快照，而非持续有效的控制措施。
对齐并非安全控制措施。系统提示词和后训练可提供实用的基线。OpenAI和Anthropic事件表明，这种方法存在局限。这些模型在没有防护措施的情况下追求单一目标，遇到边界后设法绕过。OpenAI表示，其标准客户部署中的分类器本应将该活动标记为不安全；如果当时启用了扩展的思维链监控，则会在其模型访问Hugging Face之前向安全团队发出警报。Anthropic正式发布的模型配有分类器，可实时检查输入和输出。
作为应对，两家实验室都开展了大量对齐工作，但都不认为仅靠对齐就足够。两家实验室还在模型外部设置了控制措施：由监控机制观察模型的行为，并在操作执行前进行评估，必要时上报人工处理。对这些系统理解最深入的组织得出的结论是，控制措施应置于模型之外。
从何入手
鉴于监管趋势，以及过去20年的应用安全实践让我们了解到这些义务将如何落地，我建议立即着手推进以下三项工作，而不是继续等待。
- 梳理攻击面，先从未经授权的部分入手。涵盖生产环境中的每个模型，包括SaaS API、托管端点、自主管理的开放权重部署，以及影子AI。
- 将策略执行与模型解耦。把策略置于推理路径中，而不是分别配置在7个模型中。检查输入和输出，无论使用哪种模型或云，都统一执行策略。
- 在被记录的系统之外构建审计跟踪，记录提出了哪些请求、返回了哪些内容、阻止了哪些操作，以及由谁批准了哪些事项。确保审计跟踪由模型和智能体无法控制的基础设施生成。调查OpenAI事件的人员发现，智能体曾试图篡改自身行为记录。如果记录由其所描述的系统生成，其可信度将受到质疑。
这里的关键在于，AI治理不只是文档工作。组织需要满足的要求涉及技术实施、持续执行和证据留存。因此，这是一个需要由安全和运维团队负责的架构与运营问题，而不是交由法务部门处理的政策问题。
我们认为，控制措施应部署在路径中，而不是模型中。贵组织运行的每个模型，包括SaaS API、托管端点、自主管理的开放权重模型，以及已获批准和尚未发现的模型，最终都会汇聚到推理路径。因此，推理路径是跨所有这些模型实施控制的理想位置，可用于执行策略并生成独立且可审计的记录。
规则仍在制定中
没有人知道，究竟哪项要求会迫使其组织采取行动：是《欧盟人工智能法案》规定的义务、州法律、行业监管机构的要求，还是客户合同。我可以确定的是，这些框架中的技术定义尚未定论。怎样才算监控充分、稳健性足够或记录可接受，目前仍在意见征询、标准制定机构和实践准则中讨论确定。
这又让我们回到当前关于如何把握前沿AI发展节奏的讨论。暂且不论其中利弊，作为在生产环境中运行AI的人，我想谈一点观察：企业有自己的时间表。无论实验室、政府和行业作出何种决定，已经发布的模型都正在各组织内部大规模部署和使用，而由此产生的义务也切实存在。无论我们是否放缓能力开发，都仍需向董事会、管理层和客户作出说明。
如果由具备大规模系统运营经验的人员参与决策，决策会更加合理。他们了解哪些要求真正可以执行，实施一项控制措施会带来多少延迟和复杂性，也知道善意制定的规则可能在哪些方面产生适得其反的效果。PCI DSS之所以行之有效，是因为有实务人员参与制定。如果我们不参与，相关要求仍会被写入规范，只不过制定者将是那些从未真正执行过此类要求的人。
详细了解F5的AI安全方法。
关于作者
Michael负责制定并执行覆盖全公司的战略，确保公司运营以安全性和韧性为核心。他领导F5的安全、风险和数字运营组织，推动建立端到端的运营信任，惠及客户、合作伙伴和员工。 Montoya于2025年10月加入F5高管团队，此前曾于2021年至2025年担任F5董事会成员。加入F5之前，Montoya曾任BlueVoyant首席运营官，并先后担任Equinix和Digital Realty首席信息安全官。他还曾在Microsoft任职十余年，担任多个全球领导职务，包括首席网络安全官、欧洲、中东和非洲地区及亚洲地区CIO/CISO，以及数据中心运营全球负责人。
Michael Montoya 的更多博客文章相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
