开源万亿参数模型的安全悖论：能力可进化，护栏不一定进化

法国AI公司Mistral AI于10月29日发布了其最新多模态模型Mistral Large 4的开放权重，代号Le Chonk。

这是一个万亿参数级别的巨型模型，具备强大的代码生成与网络任务能力。Mistral在公告中坦承了一个令人不安的事实：该模型“有潜力进行真正的攻击”。

更棘手的是，一旦模型权重被下载，开发者便失去了对它的控制——后续的护栏更新，永远追不上已经流散的副本。

1.开放权重的致命悖论：安全更新追不上下载按钮

Mistral Large 4已面向全球开放下载、修改和运行。这意味着任何组织或个人都可以在本地部署这个万亿参数模型，完全脱离Mistral的托管环境。

Mistral科学副总裁皮埃尔·斯托克（Pierre Stock）向CSO明确表示：“后续的保护更新将应用于我们的托管API和未来模型发布，而不是自动更新已下载的检查点。”

换言之，那些已经下载到企业服务器或个人设备上的模型副本，将永远停留在发布时的安全水平，不会自动获得未来的护栏强化。

托管这些权重的Hugging Face也在发布帖中指出，开放权重意味着“使用策略和部署都由用户控制”。这既是开源精神的核心，也是安全治理的真空地带。

Mistral表示正在修改模型的护栏，并将在未来几个月持续更新，但这些改进对于已经外流的副本而言，只是亡羊补牢。

2.Mistral的辩护：96.6%拒绝率与防御优先叙事

面对质疑，Mistral构建了一套完整的自我辩护逻辑。

首先，公司强调模型在预览阶段的表现。Mistral称，通过公开预览监控，观察到该模型拒绝配合针对活靶的黑匣子攻击。

在JailbreakBench、StrongREJECT和AgentHarm等基准测试中，Large 4在网络相关部分拒绝了96.6%的恶意提示，这是Mistral在开放模型中测得的最高率。

其次，Mistral试图区分工具与用途。公司表示，Large 4能够区分防御性工作和恶意请求，其最重要的进展体现在防御场景——如识别、重现和修复软件漏洞。在人工分析网络指数（Human Analysis Cyber Index）中，该模型得分为51%，衡量的是发现、重现和修补漏洞的能力。

此外，Mistral还为专业安全场景设计了变体。Orange Cyberdefense等设计合作伙伴将获得一个针对渗透测试、漏洞评估和红队协作优化的版本预览权限。Mistral强调，这种访问"受严格审查和合同保障约束"，且仅限于系统合作伙伴自身或被授权测试的人员。

3.外界的冷峻质疑：测试场景不等于现实世界

然而，Mistral的辩护在独立分析师看来存在明显漏洞。

Gartner首席分析师Niyati Daftary对96.6%的拒绝率数据提出了尖锐批评：“Mistral的96.6%数据告诉你他们的模型在测试场景中做了什么，而不是它对你的数据、对抗性用例，或在你的环境中对有动机的攻击者的生产表现。”测试基准与真实攻击场景之间，隔着一道难以逾越的鸿沟。

Forrester副总裁兼首席分析师Charlie Dai则对Mistral自称最佳开放权重编码模型的说法表示审慎。他指出，目前尚未公布支撑这一主张的详细技术报告，“没有详细的技术报告，最佳的开放权重模型主张仍然难以跨工作负载验证”。更重要的是，前沿模型发展极快，领导地位“可能在几个月甚至几周内发生变化”。

斯托克表示，报告将记录Mistral的网络评估方法、拒绝测试及预览监控结果，并计划分享相关的对抗性测试结果，"同时保护敏感安全信息"。但他没有给出具体的发布日期。

英国AI安全研究所今年7月的报告则为这场辩论增添了更沉重的砝码。该机构发现，领先的开放权重模型在网络任务上落后封闭前沿模型四到七个月，但对于高度具备网络能力的模型，开放发布会带来"持续且不可逆转的滥用风险"——一旦权重开放，即使后续发现漏洞，也无法像关闭API那样一键止损。

4.威胁已非假设：攻击者正在利用开源AI

Mistral的担忧并非空穴来风。攻击者已经开始将开源AI工具武器化。

本月早些时候，微软披露，一个与中国结盟的团体利用代理AI框架ARTEX，针对了超过2250个Microsoft 365租户。这表明，AI辅助的网络攻击已经从理论走向实战。当Mistral Large 4这样的万亿参数模型落入类似攻击者手中，其破坏力将远超现有工具。

Mistral在博客中承认：“虽然我们的公开预览监控显示该模型拒绝对实际目标发动攻击，但我们认识到随着能力提升可能存在的滥用风险，并持续加强我们的防护措施。”但这种持续加强，对于已经下载的副本而言，只是单向的喊话。

5.监管困局：欧盟AI法案的系统性风险认定模糊

在监管层面，Mistral的发布也引发了合规争议。

根据欧盟《人工智能法案》，使用超过10^25次浮点运算（FLOPs）训练的模型被推定存在系统性风险，其服务提供者必须评估并减轻这些风险，报告严重事件并维护网络安全防护。

然而，Mistral的发布帖没有说明Large 4是否属于该类别，也没有说明发布前进行了哪些风险评估。

斯托克表示，Mistral是欧盟通用人工智能操作守则的正式签署方，包括其安全与保安章节，欧盟委员会接受该章节作为展示合规性的一种方式。但他同样没有明确Large 4是否被归类为系统性风险模型。这种模糊性，使得监管框架在实际执行中面临"无的放矢"的尴尬。

欧盟网络安全机构ENISA在Mistral宣布时发布声明，表示正在测试该模型以识别漏洞、审计代码和分析防御日志。但测试与监管之间的时间差，恰恰是攻击者可以利用的窗口。

6.企业的两难：主权诱惑与安全责任的转移

对于企业用户而言，Mistral Large 4的发布带来了诱人的可能性，也埋下了深层的隐患。

Mistral以修改后的MIT许可发布了该模型，允许使用、改装、微调和商业化。对于不愿自托管的用户，Mistral API定价为每百万输入token 0.70美元、输出token 2.10美元。对于欧洲买家来说，Mistral的法国血统意味着数据主权——这是一个有意义的差异化因素。

但Charlie Dai提醒：“主权是一个有意义的差异化因素，但不应凌驾于安全顾虑之上。”开放权重和自托管将护栏、门禁、监控和防止滥用的责任，从模型开发者完全转移到了操作员身上。

Niyati Daftary为企业自托管Large 4给出了具体的安全建议：将其作为受控组件运行，而非自主代理。这意味着必须部署隔离环境、实行代码和凭证的最低权限访问、对生成代码进行沙盒测试，并在任何修复部署前经过人工签核。自托管可以提升数据控制和运营连续性，但也是企业独自负责打补丁、监控、评估和防止滥用。

Mistral Large 4的发布，是开源AI发展史上的又一个里程碑，也是安全治理困境的又一次集中爆发。万亿参数模型的力量，正在以不可撤回的方式流向全球。Mistral可以更新API的护栏，可以发布更安全的未来版本，但对于已经下载的Le Chonk，它唯一能做的，是祈祷下载者心存善意。

在AI能力与安全责任之间，开放权重模型正将后者推向每一个终端用户。当攻击者已经学会利用开源工具时，发布后再加固的逻辑是否还成立？这个问题，不仅拷问着Mistral，也拷问着整个开源AI生态的底线。