AI红队和普通漏洞扫描有什么区别
传统漏洞扫描主要针对已知的软件漏洞特征进行匹配检测，检测对象相对静态；AI红队（尤其是面向Agent系统的红队）需要模拟多步骤、带有对抗性的真实使用场景，考察的是"AI系统在一系列输入和工具调用组合下会不会被诱导做出不当行为"，检测对象是动态的决策过程而不是固定的代码缺陷。这是AI红队需要专门方法论而不能完全复用传统漏洞扫描工具的原因。
AI安全测试应该测试什么
一套相对完整的AI安全测试至少应当覆盖：模型是否会在正常场景外输出不当内容、Agent是否会被间接提示注入误导执行非预期操作、权限边界是否得到有效执行（例如低权限任务是否真的无法触碰高敏感数据）、以及系统在多轮交互和多步骤任务中的行为一致性。测试范围应当结合具体应用场景确定，而不是套用统一模板。
从"问模型危险问题"到"自动寻找长链路漏洞"
早期AI红队测试方式相对简单：向模型提出危险问题，观察是否给出不当回答，这类测试聚焦"一个提示、一个回答"的单点场景。随着Agent系统普及，风险链路变得更长——网页内容可能包含注入指令，Agent误判后触发工具调用，工具调用可能进一步获取数据并产生实际影响。因此安全测试需要覆盖多步骤环境、真实工具权限和完整任务场景，公开研究显示自动化测试方法在覆盖广度和重复测试效率上具有明显优势，但目前的共识是自动化红队应当作为人工安全研究的补充，而非替代，详见AI红队为什么正在从"问模型危险问题"走向自动寻找长链路安全漏洞？。
版本回归与持续验证
AI系统在更新模型版本、调整提示词模板或修改工具权限配置后，都可能引入新的安全问题。版本回归测试（Regression Testing）的作用是在每次变更后重新运行一套标准化的安全测试用例，确认此前已修复的问题没有重新出现，这是维持AI系统长期安全水位的重要环节。
授权测试原则
无论是内部安全团队还是外部研究者开展的AI红队测试，都应当在明确授权范围内进行，测试环境应尽量与生产环境隔离（沙箱化），测试过程和发现的问题需要有完整记录，便于后续修复验证。金宝博安全实验室栏目仅从方法论和原理层面介绍这些内容，不提供可直接执行的攻击测试脚本。
本栏目内容边界
本栏目仅从风险理解、检测、防御、缓解和安全工程角度展开，不提供真实恶意软件、勒索软件代码、凭据窃取代码、漏洞利用Payload、绕过安全产品的具体步骤、权限提升教程、持久化教程，也不提供可直接使用的Prompt Injection攻击字符串库，不介绍如何攻击真实企业AI系统或窃取Agent数据。