NIST：数学证明确认AI护栏的绝对安全性不可实现

美国国家标准与技术研究院（NIST）发布了一项数学证明，从根本上改变了AI系统安全方法。NIST高级科学家Apostol Vassilev通过发表在IEEE Security & Privacy期刊（2026年5月，DOI: 10.1109/MSEC.2026.3678214）的形式化方法证明了：没有任何有限的护栏集合——嵌入AI模型的规则、过滤器和安全限制——能够提供对对抗性提示词（adversarial prompts）的普遍保护。

哥德尔定理超越数学：应用于AI安全

Vassilev站在Kurt Gödel的肩膀上构建了这一证明。Gödel的1931年不完备定理表明，在任何足够丰富的形式系统中，都存在在该系统内无法证明的真命题。与AI安全的类比是直接的：基于有限规则集的护栏集合以完全相同的方式在结构上是不完备的，就像哥德尔的形式系统一样。

每个这样的规则集都包含可利用的漏洞——这不是设计不良或资源不足的问题，而是数学上的必然。正如Vassilev所总结的：「你在数学中无法逃脱哥德尔，在AI领域你很可能也无法修补一个LLM系统然后期望它永久安全。」

为什么静态护栏总是存在可利用的漏洞？

Vassilev证明的核心在于自然语言的丰富性。与形式数学系统中可能命题的空间被严格限定不同，可能的对抗性提示词的空间几乎是无限的。措辞变体、文化背景、隐喻、多义参考和混合语言结构使穷举所有潜在攻击向量在计算上无法实现。

任何基于有限规则集定义的护栏只能识别有限数量的攻击模式。发现或推断出该集合结构的攻击者可以生成规则未覆盖的新模式——类似于哥德尔在形式系统中无法证明的命题。

Vassilev在结论中是明确的：「你永远无法声称你对所有对抗性攻击提示词都具有抵抗力。」这一声明既非悲观主义，也非投降的呼吁——这是一个设计AI安全框架的所有人都必须面对的数学推论。

动态安全策略的三大支柱

基于这一证明，NIST建议用三位一体的动态策略取代静态安全范式：

1. 持续红队测试（red teaming）— 由攻击专家组织、持续搜寻新对抗性提示词。这不是系统上线前的一次性活动，而是必须与生产系统并行运行的永久运营功能。

2. 定期更新护栏 — 每个新发现的漏洞都必须尽快整合到规则集中。红队和安全部门必须形成闭环反馈：发现漏洞 → 修补 → 验证 → 重复测试。

3. 运营韧性（operational resilience）— 为攻击成功的场景做好规划。这包括快速损害控制协议、滥用检测和事件恢复。Vassilev强调，恢复规划与预防具有同等重要的地位。

经济方法：使攻击成本高昂，而非寻求绝对保护

Vassilev还引入了一个经济框架，重新定义了AI安全的现实目标。目标不应是绝对无懈可击——因为数学上已证明这无法实现。目标是使发现漏洞的成本对攻击者而言在财务上难以承受。

这一视角将焦点从「我们是否完全安全？」转移到更具操作价值的问题：「攻击者找到漏洞的成本是否高于其从中获得的收益？」如果持续红队测试和更新的周期运行得足够快速彻底，新漏洞的生命周期就会很短——从而对大多数潜在攻击者而言在经济上缺乏吸引力。

对AI系统政策和评估的影响

Vassilev的证明发表在领先的同行评审信息安全期刊上，对制定AI安全标准的监管机构具有潜在的规范性权重。如果现有的合规框架假设有可能通过静态措施一劳永逸地「解决」AI系统的安全问题，那么这一证明表明，这样的框架建立在数学上错误的前提之上。

实际影响包括：在监管批准前修订AI系统评估方法、在运营标准中引入对动态安全流程的要求，以及建立AI服务提供商和标准化机构之间快速分发新发现漏洞信息的机制。根据NIST的观点，绝对安全是无法实现的目标——但系统化、经济组织的动态防御是可以实现的。