## 通用模型一问就拒绝，海外干脆自己炼了一个 如果你做过授权渗透测试或漏洞赏金，一定被这件事折磨过：你让 Claude 或 ChatGPT 帮你审一段有漏洞的代码、或者生成一个 PoC，它要么"无法协助可能有害的活动"，要么给你一段不痛不痒的"防御建议"。国内安全圈为此发明了无数 prompt 绕过术——但这是在跟模型的护栏玩猫鼠游戏，不稳定、不可复现，更没法做成产品。 而 2026 年 6 月，海外安全圈直接掀了桌子。一个叫 **Argus** 的项目冲上 Hacker News 首页（84 points），作者用一句话定义了这场变革："We post-trained a model that pen tests instead of refusing"——**我们后训练了一个模型，它做渗透测试，而不是拒绝**。 这是本轮最重要的信息差：当国内从业者还在研究"如何绕过 ChatGPT 的安全限制来做安全测试"时，海外已经把"不做安全拒绝"这件事，通过 post-training 烧进了模型权重本身，而且**开源、自有仓库免费**。这不是技巧差，是认知差和方法差的叠加。 --- ## 现象本质：为什么"套壳AI安全工具"是个伪命题 Argus 作者在 HN 原帖里点破了一个国内几乎没人讲清楚的真相，我直接翻译关键三句： > "Anthropic 和 OpenAI 的公开模型都有显式护栏，会拒绝任何攻击性任务。而它们的网络安全专用模型，只对**企业**开放。" > > "这把中小企业和中端市场，留在了重大漏洞的暴露之下。" > > "现有的 AI 网络安全工具，绝大多数只是 **wrapper（套壳）**。问题在于，它们仍带着基础模型的全部护栏，会**继承它的拒绝行为**。" 这三句话构成了一个完整的因果链，也是整篇文章的理论基础。国内市面上不少"AI 安全助手""AI 渗透助手"，本质上都是 API 套壳——你调用 GPT-4，它照样拒绝你。你换一个壳，没换内核。Argus 干的事是**换内核**。 作者还补了一句更具危机感的话："AI 可以是攻防双刃剑，**最坏的情况是只有攻击者能用**。"这句话是整个"开源攻击侧 AI"运动的合法性叙事——防御方也需要同等能力，否则就是单方面挨打。 --- ## 三个新物种：从"测试AI"到"用AI测试"再到"持续测试" 我梳理了 2026 年上半年 HN 上冲过首页的攻击侧 AI 工具，它们恰好代表三个不同层级，信息差由浅入深。 ### 物种一：Argus —— 不拒绝的渗透测试模型（核心主角） - **官网**：https://argusred.com/cli - **HN**：story 48609231，84 points，2026 年 6 月 - **定位**：post-trained 的安全扫描与渗透测试模型，带 CLI - **价格**：**开源、免费安装**；"Free on repos you own; pen test by [the scan]"——对你自己拥有的仓库做渗透测试**免费**，另提供 free tokens 试用 - **为什么值得关注**：这是目前极少数把"攻击性能力"通过权重而非 prompt 实现的开源模型。它对自有代码库直接做漏洞挖掘，绕开了所有 wrapper 工具的通病。 **HN 评论区值得玩味的真实反应**（这是判断一个工具有没有信息差的捷径）： | 评论者观点 | 原话大意 | |---|---| | 技术好奇 | "能多分享一些 post-training 一个模型的细节吗？" | | 政策质疑 | "这和 Anthropic'只对企业开放'的政策，本质不是一样吗？" | | 伦理担忧 | "为什么做攻击工具而不是 repo 扫描工具？我想不出如何安全地公开发布攻击性工具。" | | 方法追问 | "你们怎么给一个对抗性 agent 做 benchmark？搜索空间太大，这可是开放难题。" | | 调侃（最重要） | "Show HN：我们让 Claude 生成了一个'理论上的渗透模型'的营销页。"——有人在质疑这是不是又一个概念包装 | 最后一条调侃最关键：HN 老炮们已经被太多 AI 套壳骗过，他们对"真 post-trained"vs"营销包装"极其敏感。Argus 敢开源、敢给 CLI、敢接受这种审视，本身就是一种信号筛选。 ### 物种二：Nyx —— 不测系统，测 AI 本身 - **官网**：https://fabraix.com - **HN**：20 points，2026 年 4 月 - **定位**："multi-turn, adaptive, offensive testing harness for AI"——**多轮、自适应的攻击性测试框架，专门测 AI** 这是一个更隐蔽但信息差更大的方向。Argus 是"用 AI 去测系统漏洞"，Nyx 是"**用对抗手段去测 AI agent 本身的漏洞**"。作者的原话点出了痛点： > "AI agents 会以传统软件不会的方式崩溃——逻辑 bug、推理失败……" 如果你在公司里部署了 AI agent（客服、代码生成、RPA），你怎么知道它会不会被诱导越权、被 prompt injection 劫持、在多轮对话里跑偏？传统 QA 测不出来。Nyx 这类"红队 AI agent"的工具，是 2026 年的新品类——**国内几乎空白**。 ### 物种三：MindFort（YC X25）—— 持续渗透，不是一次性扫描 - **官网**：https://mindfort.ai - **HN**：Launch HN，60 points，YC X25 batch - **定位**："AI agents for continuous pentesting"——自主的**持续性**渗透测试 它代表的是商业化和趋势背书：**YC 在 2025 年就投了"持续渗透测试 AI agent"这个赛道**。一次性扫描人人会做，难的是"持续"——代码每天在变，新漏洞每天出现，让 agent 像一个 7×24 的红队队员常驻。MindFort 的存在说明：攻击侧 AI 不是 demo 玩具，是有人真金白银投了的商业方向。 --- ## 三代演进，一张图看懂 ```mermaid flowchart LR subgraph G1["第一代：套壳 Wrapper（国内主流）"] A1["你的请求"] --> A2["套壳 UI"] A2 --> A3["GPT-4 / Claude API"] A3 -->|护栏拦截| A4["❌ 拒绝 / 给防御废话"] end subgraph G2["第二代：Post-trained 攻击模型（Argus）"] B1["自有代码库"] --> B2["开源 CLI"] B2 --> B3["权重内化攻击能力
无拒绝行为"] B3 --> B4["✅ 直接产出漏洞/PoC"] end subgraph G3["第三代：Agent 持续红队（Nyx / MindFort）"] C1["目标系统 / Agent"] --> C2["多轮自适应攻击"] C2 --> C3["7x24 持续发现"] C3 --> C4["✅ 逻辑漏洞 / 0day 推理失败"] end G1 -.演进.-> G2 -.演进.-> G3 style A4 fill:#3a1a1a style B4 fill:#1a3a1a style C4 fill:#1a3a1a ``` 这张图是整篇文章的浓缩：国内大量从业者还停在第一代（跟通用模型的护栏死磕），而海外已经走到第二代（炼权重）和第三代（Agent 化持续测试）。**差距不在写 prompt，在认知模型本身**。 --- ## 给中国从业者的实操路径 这一节只讲**合法、防御性**用途——对自有系统或获得书面授权的目标做安全测试。Argus 官方定位就是"帮中小企业发现自身系统漏洞"，属于授权渗透测试与防御范畴。 **第一步：先在自有代码库上试 Argus。** 它对自有 repo 免费，这正是零成本入门姿势。把一个你自己拥有、敢被打的测试仓库丢进去跑一遍，看它能否挖出你知道或不知道的漏洞。这比任何"AI 安全测试 benchmark"都直观。 **第二步：建立"红队 AI agent"意识。** 如果你的团队在内部部署了 AI agent（哪怕只是个接了工具的 Claude/Codex），用 Nyx 这类框架或自建对抗脚本去打它——测 prompt injection、越权调用、多轮诱导。这是 2026 年新增的安全审计项，国内 SLC（软件组成分析）和 DAST 工具几乎不覆盖。 **第三步：把"攻击侧 AI"纳入威胁建模。** MindFort 之所以被 YC 投，是因为"代码每天变、漏洞每天出"的现实让一次性扫描贬值。思考你自己的 SDLC 里，哪一环可以插一个常驻的 AI 红队。 **关键合规提醒**：只对**自有资产或获得明确书面授权**的目标测试；Argus 作者自己也声明"不会向所有人开放，但负责任的中小企业也需要这些工具来识别自身漏洞"。任何对他人未授权系统的攻击行为，无论工具多开源，都是违法的——这一点海外圈内比谁都强调。 --- ## 信息差总结：你知道的 vs 别人不知道的 | 维度 | 你以为的（国内常见认知） | 实际上（海外已发生） | |---|---|---| | AI 安全测试怎么做 | 用 GPT/Claude 套壳，研究 prompt 绕过拒绝 | 直接 post-train 一个不拒绝的模型，开源 | | 套壳 AI 安全工具 | 是新产品、有价值 | 是伪命题，继承基础模型护栏 | | AI 红队测试对象 | 只测传统系统漏洞 | 还要测 AI agent 自身的逻辑/推理漏洞（Nyx） | | 渗透测试频率 | 一次性扫描、季度审计 | 7×24 持续渗透（MindFort，YC 已投） | | 中小企业用得起吗 | 企业级安全模型太贵、不开放 | 开源 + 自有仓库免费，门槛归零 | | 谁能用攻击侧 AI | 只有攻击者 | 防御方也必须能用，否则单方面挨打 | --- ## 一句结论 当国内安全人还在第 N 次重写"请扮演一个安全专家"的越狱 prompt 时，海外已经把"不拒绝"这件事烧进了开源模型权重，还免费。这轮信息差的本质，不是谁掌握了更好的 prompt，而是**谁先意识到——护栏是个可以重新训练的参数，不是天条**。 对授权测试者和甲方安全团队，这是把"昂贵的企业级红队能力"变成"自有 repo 免费跑"的窗口期；对工具开发者，"套壳 AI 安全产品"的红利已经吃完，下一站是"专用攻击模型 + Agent 持续测试"。 --- **参考来源**（均可点击）： 1. Argus 官网（开源渗透测试 CLI）：https://argusred.com/cli 2. Argus 的 HN 讨论帖（84 points，含作者原述与社区争议）：https://news.ycombinator.com/item?id=48609231 3. Nyx 官网（红队 AI agent 的对抗测试框架）：https://fabraix.com 4. MindFort（YC X25，持续渗透测试 AI agent）：https://mindfort.ai 5. 学术背书：Teams of LLM Agents Can Exploit Zero-Day Vulnerabilities（HN 105 points 讨论） --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护。 > 聚焦5G/6G核心网、3GPP标准、AI工具实战。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。