七年前，当大众对人工智能的想象还停留在击败围棋冠军或科幻式天网觉醒时，一份跨越14家机构、汇聚26位顶尖学者的报告悄然挂上了arXiv。2018年2月，来自牛津大学人类未来研究所、剑桥大学存在风险研究中心、OpenAI、电子前沿基金会（EFF）及新美国安全中心（CNAS）的Miles Brundage、Dario Amodei与Jack Clark等人，联合提交了名为《人工智能的恶意使用：预测、预防与缓解》（arXiv:1802.07228）的论文，并在2024年12月更新了第二版。今天回看这篇前瞻性文献，最扎眼的现实在于：它所担心的毁灭性终结者并未出现，但攻击者的门槛却被彻底击穿了。
当时深度学习刚在视觉和语音识别崭露头角，主流学界要么沉溺于远期超智能对齐的形而上学，要么局限于狭义的算法公平。这份报告少见地剥离了科幻滤镜，把目光压在蓄意作恶上，将恶意使用系统性划分为数字安全、物理安全和政治安全三大威胁域，并提出了将AI作为双重用途技术监管等4项核心治理建议。七年过去，它最精准命中的机制不是某种全新超级病毒，而是能力门槛的普惠塌陷。
降维打击与平庸之恶
过去发动一次高精度的针对性钓鱼邮件攻击，需要经验老道的渗透专家花费数周研究目标背景、行文风格乃至日程表。报告在2018年就给出了定性：AI的核心杀伤力在于把原本专属于资源充沛组织的定制化、自适应攻击能力，变成了非熟练攻击者唾手可得的廉价自动化服务。
但现实的演进轨迹与当时的推演出现了一个精妙的错位。早期学者倾注了大量笔墨在宏大而剧烈的灾难构想上，比如全自主无人机蜂群袭击、协同定位暗杀等物理级打击。然而七年来真正被验证、且带来最大累积损失的，恰恰是那些毫无史诗感的平庸恶意：自动化社工库清洗、批量生成拟真凭证、高仿真的电信诈骗与钓鱼勒索。物理战场的防空管制和硬件物料限制极高，而纯软件与信息流的防御边界却一触即溃。
破坏力的扩散从不依赖武器有多壮烈，而取决于作恶的边际成本有多接近于零。
这种成本倾斜在认知战领域体现得最为剧烈。欧洲网络与信息安全局（ENISA）在2022年威胁格局报告中记录了俄乌冲突期间涉及普京和泽连斯基的深度伪造视频实操。这种尝试在战术执行上未必天衣无缝，却揭开了深度伪造更深层的次生灾害：它催生了说谎者的红利（liar's dividend）。
虚假内容的杀伤力从来不仅在于让人相信谎言，更在于摧毁公众对真实的耐受度。根据美国国家标准与技术研究院（NIST）的测试评估，逼真深度伪造的制作周期与金钱消耗已压缩到极小，而主流检测算法一旦脱离受控的学术数据集，在复杂开放环境下的识别性能就会出现断崖式衰减。这带来了一个极其荒诞的司法与政治豁免权：当一切都可以伪造时，握有实锤罪证的人反而陷入举证无门的窘境，作恶者只需轻描淡写地辩称视频是算法生成的幻象，就能全身而退。
防线的工程化重构
面对能力底线的坍塌，过去那种呼吁行业自律的抽象说辞显得格外单薄。全球安全治理在过去几年不得不被迫进入工程拆解与边界量化阶段。
NIST随后将对抗性威胁收敛为对抗性机器学习工程分类，针对预测与生成模型系统确立了四类具体风险路径：逃逸攻击、数据投毒、隐私窃取及滥用攻击。防守方不再奢谈机器是否具备某种意识，而是像审查传统软件堆栈一样，去核查模型供应链、数据清洗流水线和接口访问频率。
与此同时，学界的方法论也在纠偏。乔治城大学安全与新兴技术中心（CSET）在2025年提出了关键的三阶段评估框架，将威胁严格拆解为三个相互制约的环节：
CSET这个框架给近年来动辄把测试集跑分等同于现实威胁的恐慌泼了冷水。模型具备写恶意代码的能力，不等于攻击者拥有不被追踪的操作安全（OPSEC）环境；模型能合成毒素分子式，也不代表恐怖分子能避开海关和原料管制在车库里搓出生物制剂。西点军校反恐中心（CTC）在复盘中曾指出过类似盲区：如果防御者只盯着最终环节的模型提示词滥用，而忽视现实世界中既有的物理与供应链屏障，往往会把资源错配到虚妄的焦虑上。
- 结论.AI赋能了漏洞挖掘，但也让防守方获得了前所未有的全天候自动化补丁与流量研判能力，决定长期安全平衡的根本不是模型本身，而是哪一方能以更低边际成本把防御工程化落到业务系统里。
- 提醒.脱离物理世界的原料获取与实名网络溯源机制，单纯依赖大模型内置拒绝策略，防线在黑客对抗样本面前脆弱得像一张纸。
七年前的26位学者没能给出一个攻防终局的平衡公式，今天哪怕更新了版本，这个天平依然在动态摇摆。真正的技术现实总是缺少戏剧化的超级英雄对决。我们面对的不是一个能主宰世界的机器智能，而是一整套被大幅降维的技术杠杆，被塞进了各色各样心怀杂念的人手中。旧秩序从未消失，它只是在更廉价的作恶手段面前，迟钝地寻找着下一道喘息的缝隙。