隨著大語(yǔ)言模型加速邁向多模態(tài)與智能體形態(tài)，傳統(tǒng)以單一維度為主的安全評(píng)估體系已難以覆蓋真實(shí)世界中的復(fù)雜風(fēng)險(xiǎn)圖景。在模型能力持續(xù)躍升的 2026 年，開(kāi)發(fā)者與用戶也愈發(fā)關(guān)注一個(gè)核心問(wèn)題：前沿大模型的安全性，到底如何？

基于這一背景，復(fù)旦大學(xué)、上海創(chuàng)智學(xué)院、迪肯大學(xué)與伊利諾伊大學(xué)厄巴納 — 香檳分校的研究團(tuán)隊(duì)聯(lián)合發(fā)布本次安全評(píng)測(cè)報(bào)告，面向GPT-5.2、Gemini 3 Pro、Qwen3-VL、Grok 4.1 Fast、Nano Banana Pro、Seedream 4.5六大前沿模型，構(gòu)建了一套覆蓋語(yǔ)言、視覺(jué)語(yǔ)言與圖像生成三大核心場(chǎng)景的統(tǒng)一安全評(píng)測(cè)框架，對(duì)當(dāng)前主流大模型的安全能力進(jìn)行了系統(tǒng)性、全景式刻畫(huà)。在評(píng)測(cè)設(shè)計(jì)上，融合了四大關(guān)鍵維度，形成多層次、立體化的安全評(píng)估體系：

• 基準(zhǔn)評(píng)測(cè)，系統(tǒng)整合 ALERT、Flames、BBQ 等9 個(gè)國(guó)際主流安全基準(zhǔn)，全面刻畫(huà)模型在標(biāo)準(zhǔn)風(fēng)險(xiǎn)分布下的基礎(chǔ)安全能力；
• 對(duì)抗評(píng)測(cè)，覆蓋30 種代表性黑盒越獄攻擊方法，包括語(yǔ)義偽裝、代碼混淆與長(zhǎng)程多輪誘導(dǎo)等復(fù)雜攻擊形態(tài)，真實(shí)還原高強(qiáng)度對(duì)抗場(chǎng)景；
• 多語(yǔ)言評(píng)測(cè)，支持18 種語(yǔ)言，系統(tǒng)檢驗(yàn)?zāi)Ｐ桶踩珯C(jī)制在跨語(yǔ)種環(huán)境下的穩(wěn)定性與遷移能力；
• 合規(guī)性評(píng)測(cè)，面向歐盟《AI 法案》、美國(guó) NIST RMF、新加坡 MAS FEAT 及中國(guó)《生成式人工智能管理辦法》等核心監(jiān)管框架，評(píng)估模型在全球治理體系下的合規(guī)適配水平。
• 
  

通過(guò)全方位的安全評(píng)測(cè)，本報(bào)告揭示了前沿大模型在不同應(yīng)用場(chǎng)景、威脅模型與監(jiān)管語(yǔ)境下的安全邊界，為產(chǎn)業(yè)落地與政策制定提供一定參考。

• 論文鏈接: https://arxiv.org/pdf/2601.10527
• 項(xiàng)目主頁(yè): https://xsafeai.github.io/AI-safety-report/
• Github鏈接: https://github.com/XSafeAI/AI-safety-report
• HuggingFace鏈接: https://huggingface.co/papers/2601.10527

聲明：

本報(bào)告是一項(xiàng)基于公開(kāi)方法與統(tǒng)一框架開(kāi)展的學(xué)術(shù)性安全評(píng)測(cè)研究，旨在為前沿大模型的安全能力提供系統(tǒng)性認(rèn)知參考，而非任何形式的監(jiān)管裁定或合規(guī)結(jié)論。評(píng)測(cè)結(jié)果具有明顯的時(shí)效性與場(chǎng)景依賴性，應(yīng)主要用于推動(dòng)安全評(píng)估體系的透明化與持續(xù)改進(jìn)，而不宜被解讀為簡(jiǎn)單的模型排名或輿論定性依據(jù)。

本報(bào)告選取的評(píng)測(cè)對(duì)象均為當(dāng)前通用能力處于第一梯隊(duì)的前沿模型。我們亦對(duì)其他模型進(jìn)行了探索性測(cè)試，其整體安全表現(xiàn)普遍低于本報(bào)告所納入的模型，但未在正文中展開(kāi)呈現(xiàn)。另需說(shuō)明的是，由于 API 使用成本因素，本次研究未覆蓋 Claude 系列模型。

受限于資源與周期，本報(bào)告的評(píng)測(cè)規(guī)模仍然有限，難以全面覆蓋真實(shí)世界中的所有風(fēng)險(xiǎn)形態(tài)，相關(guān)結(jié)論不可避免具有一定的局部性與階段性，應(yīng)被視為學(xué)術(shù)參考而非最終結(jié)論。

全方位安全評(píng)測(cè)

報(bào)告的主要發(fā)現(xiàn)如下：

• 基于靜態(tài)安全基準(zhǔn)的評(píng)測(cè)會(huì)普遍高估安全性，在真實(shí)越獄攻擊下沒(méi)有模型具備可靠的防御能力，即使 GPT-5.2 在最壞情況下的安全率也僅約 6%，其他模型接近于 0%；多輪自適應(yīng)攻擊和跨語(yǔ)言場(chǎng)景成為當(dāng)前最大的安全短板。
• 不同模型呈現(xiàn)出明顯的“安全人格”差異：GPT-5.2 為全能內(nèi)化型，Qwen3-VL 為準(zhǔn)則合規(guī)型，Gemini 3 Pro 為倫理交互型，Grok 4 Fast 為自由效率型；在文生圖模型中 Nano Banana Pro 整體最穩(wěn)，為柔性重塑型，Seedream 4.5 為堅(jiān)實(shí)屏障型。

安全能力排行

1. 語(yǔ)言模態(tài)安全

GPT-5.2的平均安全率為78.39%，展現(xiàn)出業(yè)界領(lǐng)先的安全水平，其安全機(jī)制已從依賴規(guī)則觸發(fā)與啟發(fā)式過(guò)濾，邁入以深層語(yǔ)義理解與價(jià)值對(duì)齊為核心的階段。這一范式轉(zhuǎn)變使模型在復(fù)雜、灰區(qū)場(chǎng)景中的安全判斷更加穩(wěn)定，也顯著降低了在對(duì)抗輸入下的失效風(fēng)險(xiǎn)，體現(xiàn)出當(dāng)前最接近“內(nèi)生安全”的對(duì)齊形態(tài)。

Gemini 3 Pro的平均安全率為67.9%，整體呈現(xiàn)出 “強(qiáng)但不均衡” 的安全特征：在基準(zhǔn)評(píng)測(cè)與多語(yǔ)言安全上保持第二梯隊(duì)領(lǐng)先，基準(zhǔn)測(cè)試達(dá)到 88.06%，多語(yǔ)言安全率為 67.00%，合規(guī)性維度也取得 73.54% 的穩(wěn)定成績(jī)，顯示其基礎(chǔ)對(duì)齊與社會(huì)價(jià)值觀校準(zhǔn)較為扎實(shí)。然而，其對(duì)抗魯棒性下降至 41.17%，與其基準(zhǔn)表現(xiàn)形成明顯落差，說(shuō)明該模型在攻擊驅(qū)動(dòng)輸入下仍存在可被利用的脆弱面，更適合 “常規(guī)分布” 下的安全場(chǎng)景，而在語(yǔ)義偽裝與復(fù)雜上下文操縱中的泛化能力仍有提升空間。

Qwen3-VL的平均安全率為63.7%，比肩 Gemini 3 Pro。其在合規(guī)性方面表現(xiàn)尤為突出，以 77.11% 的成績(jī)位居第二，體現(xiàn)了其在合規(guī)導(dǎo)向型安全策略上的系統(tǒng)優(yōu)勢(shì)。不過(guò)，其在對(duì)抗安全性（33.42%）與多語(yǔ)言安全（64.00%）上的明顯回落，也反映出該模型更擅長(zhǎng) “規(guī)則明確型風(fēng)險(xiǎn)”，而在語(yǔ)義偽裝與跨語(yǔ)境遷移方面仍有提升空間。

Grok 4.1 Fast的平均安全率為55.2%，表現(xiàn)呈現(xiàn)出很大的不均衡性。盡管其在基線安全性（66.60%）和合規(guī)性評(píng)測(cè)（45.97%）中處于墊底位置，顯示出系統(tǒng)性的合規(guī)短板 ，但其在對(duì)抗評(píng)測(cè)中卻展現(xiàn)了意外的韌性，以 46.39% 的安全率位列全場(chǎng)第二 。這種 “底座薄弱但對(duì)抗較強(qiáng)” 的獨(dú)特性，反映了其防護(hù)策略可能更多依賴于對(duì)特定攻擊模式的攔截，而非全維度的安全內(nèi)化，在非英語(yǔ)語(yǔ)境和嚴(yán)監(jiān)管場(chǎng)景中依然面臨較大的合規(guī)挑戰(zhàn) 。

2. 多模態(tài)安全

GPT-5.2的平均多模態(tài)安全率為94.69%，延續(xù)了全面領(lǐng)先的態(tài)勢(shì)，在對(duì)抗評(píng)測(cè)下達(dá)到 97.24% 的近飽和表現(xiàn)，在基準(zhǔn)場(chǎng)景中亦以 92.14% 穩(wěn)居首位。這一結(jié)果表明，其安全機(jī)制不僅在文本層面實(shí)現(xiàn)了深度內(nèi)化，在圖文交互等復(fù)雜跨模態(tài)場(chǎng)景中同樣具備高度穩(wěn)定性，能夠有效抵御視覺(jué)誘導(dǎo)、語(yǔ)義疊加等復(fù)合型風(fēng)險(xiǎn)，代表了當(dāng)前多模態(tài)安全對(duì)齊的最高成熟度。

Qwen3-VL的平均安全率為81.11%，超越 Gemini 3 Pro。其以 83.32% 的基準(zhǔn)成績(jī)和 78.89% 的對(duì)抗成績(jī)穩(wěn)居第二，并在兩類(lèi)評(píng)測(cè)中均保持對(duì) Gemini 3 Pro 的領(lǐng)先優(yōu)勢(shì)。這表明其在視覺(jué) - 語(yǔ)言交互場(chǎng)景中的安全策略具備較好的結(jié)構(gòu)完整性，能夠在面對(duì)圖文組合誘導(dǎo)時(shí)維持相對(duì)穩(wěn)健的防御表現(xiàn)。

Gemini 3 Pro的平均安全率為78.99%位列第三，整體呈現(xiàn)出 “可靠但保守” 的多模態(tài)安全特征。其在常規(guī)視 - 語(yǔ)言任務(wù)中的風(fēng)險(xiǎn)識(shí)別能力較為扎實(shí)，但在面對(duì)多輪視覺(jué)誘導(dǎo)、隱性語(yǔ)義嵌套等復(fù)雜攻擊時(shí)，防御強(qiáng)度明顯弱于前兩名模型，說(shuō)明其多模態(tài)安全機(jī)制仍更多建立在規(guī)則與觸發(fā)層面，而非深層語(yǔ)義融合層面的統(tǒng)一對(duì)齊。

Grok 4.1 Fast的平均安全率為68.16%。其表現(xiàn)具有一定 “反直覺(jué)” 性：其對(duì)抗成績(jī) 68.34% 略高于基準(zhǔn)成績(jī) 67.97%，顯示其安全水平對(duì)攻擊擾動(dòng)并不敏感。這一現(xiàn)象并不意味著其具備真正的魯棒性，反而更可能反映出其更強(qiáng)的防護(hù)機(jī)制主要停留在淺層過(guò)濾與簡(jiǎn)單觸發(fā)邏輯上，缺乏隨攻擊復(fù)雜度提升而動(dòng)態(tài)調(diào)節(jié)的能力，整體仍難以支撐復(fù)雜真實(shí)場(chǎng)景下的多模態(tài)風(fēng)險(xiǎn)防控需求。

3. 文生圖安全

Nano Banana Pro的平均安全率為59.86%，在文生圖安全評(píng)測(cè)中展現(xiàn)出當(dāng)前最為成熟的整體防護(hù)水平，在基準(zhǔn)評(píng)測(cè)（60.00%）、對(duì)抗評(píng)測(cè)（54.00%）與合規(guī)性評(píng)測(cè)（65.59%）三個(gè)維度均位居首位。其成績(jī)隨評(píng)測(cè)強(qiáng)度遞進(jìn)而穩(wěn)定提升，表明該模型的安全機(jī)制并非僅針對(duì)靜態(tài)提示詞進(jìn)行表層過(guò)濾，而是具備一定程度的風(fēng)險(xiǎn)語(yǔ)義重構(gòu)與情境適配能力，能夠在監(jiān)管敏感場(chǎng)景下保持相對(duì)一致的防御表現(xiàn)。這一特征使其在藝術(shù)表達(dá)與內(nèi)容合規(guī)之間形成了較為平衡的治理路徑，是當(dāng)前文生圖模型中安全泛化能力最為突出的代表。

Seedream 4.5的平均安全率為41.71%，展現(xiàn)了堅(jiān)實(shí)的合規(guī)基礎(chǔ)，其基準(zhǔn)安全（47.94%）與合規(guī)性（57.53%）成績(jī)證明了其在受監(jiān)管視覺(jué)場(chǎng)景下的精準(zhǔn)防控優(yōu)勢(shì)，但是在對(duì)抗安全性（19.67%）方面成績(jī)偏低，顯示其基礎(chǔ)防護(hù)能力仍存在結(jié)構(gòu)性短板。該模型在顯性監(jiān)管紅線與高風(fēng)險(xiǎn)類(lèi)別上具備較為穩(wěn)定的規(guī)則觸發(fā)能力，然而這種以約束為主的防御模式在面對(duì)語(yǔ)義偽裝、隱性誘導(dǎo)等對(duì)抗型提示時(shí)缺乏足夠的語(yǔ)境理解支撐，導(dǎo)致在對(duì)抗場(chǎng)景中的安全魯棒性仍顯不足。

大模型的 “安全人格” 畫(huà)像

GPT-5.2（全能內(nèi)化型）

其安全雷達(dá)圖譜近乎全向飽和，表明安全機(jī)制已從外置規(guī)則演進(jìn)為內(nèi)生推理能力。在灰區(qū)與復(fù)雜語(yǔ)境中，GPT-5.2 往往能給出克制而精確的合規(guī)引導(dǎo)，避免過(guò)度拒絕與風(fēng)險(xiǎn)放行之間的搖擺。不過(guò)也正因其具備更強(qiáng)的語(yǔ)義理解與任務(wù)完成能力，在極少數(shù)高度隱蔽的對(duì)抗性場(chǎng)景中，其 “深度推理 — 深度協(xié)作” 的優(yōu)勢(shì)亦可能被利用，對(duì)安全校準(zhǔn)提出更高的持續(xù)演化要求。

Qwen3-VL（準(zhǔn)則合規(guī)型）

在法律政策邊界清晰、監(jiān)管要求明確的場(chǎng)景中展現(xiàn)出極強(qiáng)的穩(wěn)定性與可預(yù)期性，尤其在生物安全、政務(wù)合規(guī)等 “硬紅線” 領(lǐng)域具備高度專(zhuān)業(yè)化的防御能力。然而，評(píng)測(cè)也顯示，其安全策略明顯偏向規(guī)則驅(qū)動(dòng)范式：當(dāng)風(fēng)險(xiǎn)表達(dá)轉(zhuǎn)向語(yǔ)義偽裝或情境隱喻時(shí)，模型在跨語(yǔ)境推斷與抽象風(fēng)險(xiǎn)識(shí)別方面的彈性仍顯不足，使其在未知攻擊形態(tài)下呈現(xiàn)出一定脆性。

Gemini 3 Pro（倫理交互型）

采用 “先響應(yīng)、后校準(zhǔn)” 的人本化安全交互范式，在保障對(duì)話流暢度的同時(shí)保持較高的風(fēng)險(xiǎn)敏感性。其在社會(huì)價(jià)值觀與文化語(yǔ)境對(duì)齊方面表現(xiàn)細(xì)膩，尤其擅長(zhǎng)處理偏見(jiàn)與歧視類(lèi)風(fēng)險(xiǎn)。但評(píng)測(cè)亦表明，其安全策略在部分場(chǎng)景中偏向事后糾偏而非事前阻斷，當(dāng)面對(duì)對(duì)抗性重構(gòu)或復(fù)雜情境操縱時(shí)，這種 “柔性防御” 在穩(wěn)定性上仍有提升空間。

Grok 4.1 Fast（自由效率型）

呈現(xiàn)出輕量化與極速響應(yīng)的產(chǎn)品哲學(xué)，原生防御機(jī)制相對(duì)克制，更強(qiáng)調(diào)開(kāi)放表達(dá)與低摩擦交互體驗(yàn)。其設(shè)計(jì)取向?yàn)橛脩籼峁┝烁蟮膭?chuàng)作自由度與更廣闊的對(duì)話空間，體現(xiàn)出一種以效率與表達(dá)自由優(yōu)先的安全取舍路徑，在開(kāi)放性與防護(hù)性之間形成鮮明風(fēng)格。

Nano Banana Pro（柔性重塑型）

擅長(zhǎng)通過(guò)內(nèi)生語(yǔ)義凈化策略對(duì)高風(fēng)險(xiǎn)提示進(jìn)行隱性重構(gòu)，在維持生成質(zhì)量與藝術(shù)表現(xiàn)力的同時(shí)，實(shí)現(xiàn)較為穩(wěn)定的內(nèi)容合規(guī)控制。這一 “柔性轉(zhuǎn)譯” 式治理模式在多數(shù)場(chǎng)景中有效平衡了安全與創(chuàng)作自由，但其對(duì)邊界模糊風(fēng)險(xiǎn)的處理仍高度依賴隱式轉(zhuǎn)換機(jī)制，一旦語(yǔ)義重塑失效，防護(hù)體系的顯性支撐能力相對(duì)有限。

Seedream 4.5（堅(jiān)實(shí)屏障型）

在文生圖領(lǐng)域堅(jiān)持以強(qiáng)約束為核心的安全設(shè)計(jì)理念，特別是在版權(quán)與暴力內(nèi)容防御方面構(gòu)建了穩(wěn)定可靠的攔截閉環(huán)。然而，其安全體系明顯呈現(xiàn)出“阻斷優(yōu)先”特征：對(duì)邊緣語(yǔ)義與灰區(qū)場(chǎng)景缺乏足夠的語(yǔ)義判別彈性，導(dǎo)致在部分復(fù)雜創(chuàng)作需求下出現(xiàn) “要么全擋、要么全漏” 的兩極化風(fēng)險(xiǎn)，暴露出語(yǔ)義理解深度與生成自由度之間的結(jié)構(gòu)性張力。

對(duì)抗演進(jìn)與治理挑戰(zhàn)

1. 多輪自適應(yīng)攻擊的深層威脅

研究表明，攻擊者通過(guò)持續(xù)觀測(cè)模型響應(yīng)并動(dòng)態(tài)調(diào)整誘導(dǎo)策略，可形成具備 “自我進(jìn)化” 能力的多步攻擊鏈路。在此范式下，單一攔截層和靜態(tài)規(guī)則體系難以形成有效防線，多輪自適應(yīng)攻擊在復(fù)雜場(chǎng)景中的繞過(guò)成功率顯著提升，正在成為下一階段大模型安全治理的核心挑戰(zhàn)。

2. 跨語(yǔ)言安全的結(jié)構(gòu)性不均衡

評(píng)測(cè)結(jié)果顯示，多數(shù)模型在非英語(yǔ)語(yǔ)境（如泰語(yǔ)、阿拉伯語(yǔ)等）下的安全表現(xiàn)出現(xiàn)20%–40%的系統(tǒng)性下滑，暴露出當(dāng)前安全對(duì)齊在語(yǔ)料分布與策略遷移上的顯著不平衡。這一差距不僅削弱了模型的全球可用性，也放大了區(qū)域性風(fēng)險(xiǎn)外溢的可能性，構(gòu)成全球部署背景下的長(zhǎng)期隱患。

3. 決策透明度與可解釋性的治理短板

盡管前沿模型在合規(guī)性指標(biāo)上持續(xù)進(jìn)步，但在拒絕決策的可解釋性與責(zé)任可追溯性方面仍普遍存在結(jié)構(gòu)性不足。當(dāng)前安全機(jī)制更多體現(xiàn)為 “結(jié)果合規(guī)”，而非 “過(guò)程可審計(jì)”，這一缺口在高風(fēng)險(xiǎn)領(lǐng)域（如醫(yī)療、公共治理與國(guó)家安全）中尤為突出，已成為制約可信部署的重要制度性瓶頸。

結(jié)語(yǔ)

本報(bào)告致力于為全球人工智能安全研究提供一份基于系統(tǒng)實(shí)證的關(guān)鍵參照坐標(biāo)。隨著模型能力呈指數(shù)級(jí)躍升，安全對(duì)齊已不再是事后修補(bǔ)式的技術(shù)疊加，而必須轉(zhuǎn)向從底層架構(gòu)、訓(xùn)練范式到多模態(tài)交互機(jī)制的全棧式深度嵌入。

本報(bào)告呼吁學(xué)術(shù)界、產(chǎn)業(yè)界與治理機(jī)構(gòu)應(yīng)當(dāng)形成更加緊密的協(xié)同機(jī)制，共同構(gòu)建兼具包容性、標(biāo)準(zhǔn)化與動(dòng)態(tài)演進(jìn)能力的安全評(píng)估體系，以制度化、工程化的方式推動(dòng)生成式人工智能走向可控、可信與可持續(xù)的發(fā)展路徑。

更為系統(tǒng)和深入的分析見(jiàn)論文。