如果你做过授权渗透测试或漏洞赏金，一定被这件事折磨过：你让 Claude 或 ChatGPT 帮你审一段有漏洞的代码、或者生成一个 PoC，它要么"无法协助可能有害的活动"，要么给你一段不痛不痒的"防御建议"。国内安全圈为此发明了无数 prompt 绕过术——但这是在跟模型的护栏玩猫鼠游戏，不稳定、不可复现，更没法做成产品。
而 2026 年 6 月，海外安全圈直接掀了桌子。一个叫 Argus 的项目冲上 Hacker News 首页（84 points），作者用一句话定义了这场变革："We post-trained a model that pen tests instead of refusing"——我们后训练了一个模型，它做渗透测试，而不是拒绝。
这是本轮最重要的信息差：当国内从业者还在研究"如何绕过 ChatGPT 的安全限制来做安全测试"时，海外已经把"不做安全拒绝"这件事，通过 post-training 烧进了模型权重本身，而且开源、自有仓库免费。这不是技巧差，是认知差和方法差的叠加。
Argus 作者在 HN 原帖里点破了一个国内几乎没人讲清楚的真相，我直接翻译关键三句：
"Anthropic 和 OpenAI 的公开模型都有显式护栏，会拒绝任何攻击性任务。而它们的网络安全专用模型，只对企业开放。"
"这把中小企业和中端市场，留在了重大漏洞的暴露之下。"
"现有的 AI 网络安全工具，绝大多数只是 wrapper（套壳）。问题在于，它们仍带着基础模型的全部护栏，会继承它的拒绝行为。"
这三句话构成了一个完整的因果链，也是整篇文章的理论基础。国内市面上不少"AI 安全助手""AI 渗透助手"，本质上都是 API 套壳——你调用 GPT-4，它照样拒绝你。你换一个壳，没换内核。Argus 干的事是换内核。
作者还补了一句更具危机感的话："AI 可以是攻防双刃剑，最坏的情况是只有攻击者能用。"这句话是整个"开源攻击侧 AI"运动的合法性叙事——防御方也需要同等能力，否则就是单方面挨打。
我梳理了 2026 年上半年 HN 上冲过首页的攻击侧 AI 工具，它们恰好代表三个不同层级，信息差由浅入深。
HN 评论区值得玩味的真实反应（这是判断一个工具有没有信息差的捷径）：
| 评论者观点 | 原话大意 |
|---|---|
| 技术好奇 | "能多分享一些 post-training 一个模型的细节吗？" |
| 政策质疑 | "这和 Anthropic'只对企业开放'的政策，本质不是一样吗？" |
| 伦理担忧 | "为什么做攻击工具而不是 repo 扫描工具？我想不出如何安全地公开发布攻击性工具。" |
| 方法追问 | "你们怎么给一个对抗性 agent 做 benchmark？搜索空间太大，这可是开放难题。" |
| 调侃（最重要） | "Show HN：我们让 Claude 生成了一个'理论上的渗透模型'的营销页。"——有人在质疑这是不是又一个概念包装 |
最后一条调侃最关键：HN 老炮们已经被太多 AI 套壳骗过，他们对"真 post-trained"vs"营销包装"极其敏感。Argus 敢开源、敢给 CLI、敢接受这种审视，本身就是一种信号筛选。
这是一个更隐蔽但信息差更大的方向。Argus 是"用 AI 去测系统漏洞"，Nyx 是"用对抗手段去测 AI agent 本身的漏洞"。作者的原话点出了痛点：
"AI agents 会以传统软件不会的方式崩溃——逻辑 bug、推理失败……"
如果你在公司里部署了 AI agent（客服、代码生成、RPA），你怎么知道它会不会被诱导越权、被 prompt injection 劫持、在多轮对话里跑偏？传统 QA 测不出来。Nyx 这类"红队 AI agent"的工具，是 2026 年的新品类——国内几乎空白。
它代表的是商业化和趋势背书：YC 在 2025 年就投了"持续渗透测试 AI agent"这个赛道。一次性扫描人人会做，难的是"持续"——代码每天在变，新漏洞每天出现，让 agent 像一个 7×24 的红队队员常驻。MindFort 的存在说明：攻击侧 AI 不是 demo 玩具，是有人真金白银投了的商业方向。
flowchart LR
subgraph G1["第一代：套壳 Wrapper（国内主流）"]
A1["你的请求"] --> A2["套壳 UI"]
A2 --> A3["GPT-4 / Claude API"]
A3 -->|护栏拦截| A4["❌ 拒绝 / 给防御废话"]
end
subgraph G2["第二代：Post-trained 攻击模型（Argus）"]
B1["自有代码库"] --> B2["开源 CLI"]
B2 --> B3["权重内化攻击能力<br/>无拒绝行为"]
B3 --> B4["✅ 直接产出漏洞/PoC"]
end
subgraph G3["第三代：Agent 持续红队（Nyx / MindFort）"]
C1["目标系统 / Agent"] --> C2["多轮自适应攻击"]
C2 --> C3["7x24 持续发现"]
C3 --> C4["✅ 逻辑漏洞 / 0day 推理失败"]
end
G1 -.演进.-> G2 -.演进.-> G3
style A4 fill:#3a1a1a
style B4 fill:#1a3a1a
style C4 fill:#1a3a1a
这张图是整篇文章的浓缩：国内大量从业者还停在第一代（跟通用模型的护栏死磕），而海外已经走到第二代（炼权重）和第三代（Agent 化持续测试）。差距不在写 prompt，在认知模型本身。
这一节只讲合法、防御性用途——对自有系统或获得书面授权的目标做安全测试。Argus 官方定位就是"帮中小企业发现自身系统漏洞"，属于授权渗透测试与防御范畴。
第一步：先在自有代码库上试 Argus。 它对自有 repo 免费，这正是零成本入门姿势。把一个你自己拥有、敢被打的测试仓库丢进去跑一遍，看它能否挖出你知道或不知道的漏洞。这比任何"AI 安全测试 benchmark"都直观。
第二步：建立"红队 AI agent"意识。 如果你的团队在内部部署了 AI agent（哪怕只是个接了工具的 Claude/Codex），用 Nyx 这类框架或自建对抗脚本去打它——测 prompt injection、越权调用、多轮诱导。这是 2026 年新增的安全审计项，国内 SLC（软件组成分析）和 DAST 工具几乎不覆盖。
第三步：把"攻击侧 AI"纳入威胁建模。 MindFort 之所以被 YC 投，是因为"代码每天变、漏洞每天出"的现实让一次性扫描贬值。思考你自己的 SDLC 里，哪一环可以插一个常驻的 AI 红队。
关键合规提醒：只对自有资产或获得明确书面授权的目标测试；Argus 作者自己也声明"不会向所有人开放，但负责任的中小企业也需要这些工具来识别自身漏洞"。任何对他人未授权系统的攻击行为，无论工具多开源，都是违法的——这一点海外圈内比谁都强调。
| 维度 | 你以为的（国内常见认知） | 实际上（海外已发生） |
|---|---|---|
| AI 安全测试怎么做 | 用 GPT/Claude 套壳，研究 prompt 绕过拒绝 | 直接 post-train 一个不拒绝的模型，开源 |
| 套壳 AI 安全工具 | 是新产品、有价值 | 是伪命题，继承基础模型护栏 |
| AI 红队测试对象 | 只测传统系统漏洞 | 还要测 AI agent 自身的逻辑/推理漏洞（Nyx） |
| 渗透测试频率 | 一次性扫描、季度审计 | 7×24 持续渗透（MindFort，YC 已投） |
| 中小企业用得起吗 | 企业级安全模型太贵、不开放 | 开源 + 自有仓库免费，门槛归零 |
| 谁能用攻击侧 AI | 只有攻击者 | 防御方也必须能用，否则单方面挨打 |
当国内安全人还在第 N 次重写"请扮演一个安全专家"的越狱 prompt 时，海外已经把"不拒绝"这件事烧进了开源模型权重，还免费。这轮信息差的本质，不是谁掌握了更好的 prompt，而是谁先意识到——护栏是个可以重新训练的参数，不是天条。
对授权测试者和甲方安全团队，这是把"昂贵的企业级红队能力"变成"自有 repo 免费跑"的窗口期；对工具开发者，"套壳 AI 安全产品"的红利已经吃完，下一站是"专用攻击模型 + Agent 持续测试"。
参考来源（均可点击）：
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护。 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。