Rajavel 警告的核心是什么？

Palo Alto Networks 首席信息官 Meerah Rajavel 认为，组织面对的最大网络安全威胁，未必是 OpenAI、Anthropic 等公司掌控的最新前沿模型，而可能是价格低廉、可以直接下载、能力只落后前沿模型几个月的开放权重 AI 模型。6

相关报道援引的判断是，先进的攻击型 AI 能力可能在未来四到六个月内，通过开源或开放权重替代品变得广泛可用。11 这并不意味着每个使用开放权重模型的人都会实施恶意行为，而是意味着强大能力的获取门槛、复制成本和部署限制都在下降。

一旦脱离 API，企业会失去什么？

通过云端 API 使用模型时，服务提供商通常可以在控制面内实施多种措施，包括：

• 记录调用日志并发现异常行为；
• 设置速率限制和账户权限；
• 拦截滥用请求并执行安全策略；
• 推送安全更新；
• 在必要时暂停账户、撤销访问权限。

但当模型权重被下载并在本地或企业自有基础设施上运行后，这套控制机制就可能失效。用户可以修改或移除原有安全防护，模型开发者也无法可靠地远程打补丁或撤销模型。对于企业安全团队而言，员工私自下载模型并在未备案环境中运行，也可能完全不在现有监控范围内。

这正是开放权重改变风险模型的地方：风险不再只取决于模型“有多强”，还取决于谁能部署它、能否观察其使用方式，以及模型能否被及时限制或更新。2

GPU 成本下降，让攻击能力更容易扩散

随着云端 GPU 租赁成本下降，加上模型可以在本地部署，使用强大模型进行侦察、漏洞利用开发、钓鱼内容生成、恶意软件改造或自动化目标筛选的经济和技术门槛都可能降低。

研究指出，开放权重模型的公开可得性，能够让更多行为主体自动化并扩大网络攻击活动。2 这里的关键风险不是某一个模型必然会被用于攻击，而是原本需要较高专业能力、资金和基础设施的工作，可能被拆解成更容易重复执行的流程。

在这种情况下，攻击者可以更快测试不同提示、修改恶意代码，并针对不同目标进行迭代。防守方原本依赖的补丁周期和人工审查流程，可能因此变得更加被动。

多轮对话可能绕过一次性安全拒答

Cisco 对 8 个开放权重大语言模型进行的评估显示，多轮对抗攻击的成功率比单轮基线高出约 2 至 10 倍，测试中的多轮攻击成功率介于 25.86% 和 92.78% 之间。

这意味着，一个模型在第一次收到恶意请求时拒绝回答，并不代表它在持续对话中同样安全。攻击者可能通过逐步改写问题、改变上下文、拆分任务或不断施压，让模型最终输出原本被禁止提供的内容。

这种“多轮消耗”式攻击尤其值得企业关注，因为实际使用往往不是一次性问答，而是持续的会话、代理调用和工作流自动化。单轮安全测试如果不能反映长期交互中的表现，可能会高估模型的防护能力。

自托管还带来模型供应链风险

企业下载并自行部署模型时，信任对象不只是模型本身，还包括模型文件格式、转换工具、聊天模板、推理服务器和相关依赖组件。

云安全联盟记录的自托管大语言模型风险包括：模型文件在加载或反序列化时触发恶意代码，窃取环境变量和凭证，或在推理过程中通过后门行为泄露系统提示词、凭据和对话数据。 这类风险可以发生在模型真正处理第一个用户请求之前。

因此，模型权重并非天然等同于“安全的软件包”。企业需要像审查代码和第三方依赖一样审查模型制品，并隔离推理环境、限制网络访问、保护密钥，同时监控模型服务的运行时行为。

需要指出的是，现有材料并未能从云安全联盟的一份主要原始报告中独立核实“同一项 CSA 研究明确同时点名 Llama、Mistral 和 Qwen”的具体说法。因此，把这三个模型名称作为单一 CSA 发现的直接结论，证据仍不充分；可以确认的是，CSA 对自托管模型文件、推理服务器和相关供应链风险进行了记录。

Palo Alto Networks 的攻击数字应如何理解？

关于 Palo Alto Networks 的数据，现有主要材料给出的表述是：该公司每天最多发现 890 万个新颖或此前未见过的攻击，并每天拦截最多 309 亿次攻击。

这不是“过去一年拦截约 300 亿次攻击、发现 2.5 亿个新攻击向量”的年度统计。按每天数据简单换算，不能在没有明确统计口径的情况下直接替换为年度数字；两组数字的时间范围和定义并不相同。

不过，这些数据仍然支持 Rajavel 的更大判断：网络攻击环境本身已经高度快速、复杂且持续变化。当更强的 AI 能力以开放权重形式广泛传播，并且能够被修改、复制和本地运行时，攻击者的试错和迭代速度可能进一步加快。

企业需要关注的真正问题

Rajavel 的警告并不是“闭源模型绝对安全、开放模型必然危险”，而是提醒企业重新审视 AI 能力的扩散方式。受控 API 仍可能存在漏洞，开放权重模型也可能带来研究、商业和创新价值；但两者在可见性、可撤销性和安全治理能力上存在重要差异。

对企业而言，关键问题包括：

• 是否知道哪些员工、应用和服务器正在运行 AI 模型？
• 下载的模型文件和推理组件是否经过来源验证和安全扫描？
• 模型运行环境是否与核心凭证、生产数据和内部网络隔离？
• 企业能否发现多轮提示攻击、异常工具调用和数据外传？
• 安全策略是否只依赖模型提供商，还是也覆盖了本地部署和运行时环境？

如果前沿模型的能力差距只能维持几个月，防守方就不能只把风险管理重点放在少数受控平台上。真正的挑战，是在能力迅速扩散之前建立对模型、人员、基础设施和数据流的持续可见性。

Rajavel 警告的核心是什么？

Palo Alto Networks 首席信息官 Meerah Rajavel 认为，组织面对的最大网络安全威胁，未必是 OpenAI、Anthropic 等公司掌控的最新前沿模型，而可能是价格低廉、可以直接下载、能力只落后前沿模型几个月的开放权重 AI 模型。6

相关报道援引的判断是，先进的攻击型 AI 能力可能在未来四到六个月内，通过开源或开放权重替代品变得广泛可用。11 这并不意味着每个使用开放权重模型的人都会实施恶意行为，而是意味着强大能力的获取门槛、复制成本和部署限制都在下降。

一旦脱离 API，企业会失去什么？

通过云端 API 使用模型时，服务提供商通常可以在控制面内实施多种措施，包括：

• 记录调用日志并发现异常行为；
• 设置速率限制和账户权限；
• 拦截滥用请求并执行安全策略；
• 推送安全更新；
• 在必要时暂停账户、撤销访问权限。

但当模型权重被下载并在本地或企业自有基础设施上运行后，这套控制机制就可能失效。用户可以修改或移除原有安全防护，模型开发者也无法可靠地远程打补丁或撤销模型。对于企业安全团队而言，员工私自下载模型并在未备案环境中运行，也可能完全不在现有监控范围内。

这正是开放权重改变风险模型的地方：风险不再只取决于模型“有多强”，还取决于谁能部署它、能否观察其使用方式，以及模型能否被及时限制或更新。2

GPU 成本下降，让攻击能力更容易扩散

随着云端 GPU 租赁成本下降，加上模型可以在本地部署，使用强大模型进行侦察、漏洞利用开发、钓鱼内容生成、恶意软件改造或自动化目标筛选的经济和技术门槛都可能降低。

研究指出，开放权重模型的公开可得性，能够让更多行为主体自动化并扩大网络攻击活动。2 这里的关键风险不是某一个模型必然会被用于攻击，而是原本需要较高专业能力、资金和基础设施的工作，可能被拆解成更容易重复执行的流程。

在这种情况下，攻击者可以更快测试不同提示、修改恶意代码，并针对不同目标进行迭代。防守方原本依赖的补丁周期和人工审查流程，可能因此变得更加被动。

多轮对话可能绕过一次性安全拒答

Cisco 对 8 个开放权重大语言模型进行的评估显示，多轮对抗攻击的成功率比单轮基线高出约 2 至 10 倍，测试中的多轮攻击成功率介于 25.86% 和 92.78% 之间。

这意味着，一个模型在第一次收到恶意请求时拒绝回答，并不代表它在持续对话中同样安全。攻击者可能通过逐步改写问题、改变上下文、拆分任务或不断施压，让模型最终输出原本被禁止提供的内容。

这种“多轮消耗”式攻击尤其值得企业关注，因为实际使用往往不是一次性问答，而是持续的会话、代理调用和工作流自动化。单轮安全测试如果不能反映长期交互中的表现，可能会高估模型的防护能力。

自托管还带来模型供应链风险

企业下载并自行部署模型时，信任对象不只是模型本身，还包括模型文件格式、转换工具、聊天模板、推理服务器和相关依赖组件。

云安全联盟记录的自托管大语言模型风险包括：模型文件在加载或反序列化时触发恶意代码，窃取环境变量和凭证，或在推理过程中通过后门行为泄露系统提示词、凭据和对话数据。 这类风险可以发生在模型真正处理第一个用户请求之前。

因此，模型权重并非天然等同于“安全的软件包”。企业需要像审查代码和第三方依赖一样审查模型制品，并隔离推理环境、限制网络访问、保护密钥，同时监控模型服务的运行时行为。

需要指出的是，现有材料并未能从云安全联盟的一份主要原始报告中独立核实“同一项 CSA 研究明确同时点名 Llama、Mistral 和 Qwen”的具体说法。因此，把这三个模型名称作为单一 CSA 发现的直接结论，证据仍不充分；可以确认的是，CSA 对自托管模型文件、推理服务器和相关供应链风险进行了记录。

Palo Alto Networks 的攻击数字应如何理解？

关于 Palo Alto Networks 的数据，现有主要材料给出的表述是：该公司每天最多发现 890 万个新颖或此前未见过的攻击，并每天拦截最多 309 亿次攻击。

这不是“过去一年拦截约 300 亿次攻击、发现 2.5 亿个新攻击向量”的年度统计。按每天数据简单换算，不能在没有明确统计口径的情况下直接替换为年度数字；两组数字的时间范围和定义并不相同。

不过，这些数据仍然支持 Rajavel 的更大判断：网络攻击环境本身已经高度快速、复杂且持续变化。当更强的 AI 能力以开放权重形式广泛传播，并且能够被修改、复制和本地运行时，攻击者的试错和迭代速度可能进一步加快。

企业需要关注的真正问题

Rajavel 的警告并不是“闭源模型绝对安全、开放模型必然危险”，而是提醒企业重新审视 AI 能力的扩散方式。受控 API 仍可能存在漏洞，开放权重模型也可能带来研究、商业和创新价值；但两者在可见性、可撤销性和安全治理能力上存在重要差异。

对企业而言，关键问题包括：

• 是否知道哪些员工、应用和服务器正在运行 AI 模型？
• 下载的模型文件和推理组件是否经过来源验证和安全扫描？
• 模型运行环境是否与核心凭证、生产数据和内部网络隔离？
• 企业能否发现多轮提示攻击、异常工具调用和数据外传？
• 安全策略是否只依赖模型提供商，还是也覆盖了本地部署和运行时环境？

如果前沿模型的能力差距只能维持几个月，防守方就不能只把风险管理重点放在少数受控平台上。真正的挑战，是在能力迅速扩散之前建立对模型、人员、基础设施和数据流的持续可见性。