作者：Ads Dawson、Rob Mulla、Nick Landers、Shane Caldwell（Dreadnode 团队） 发表：2025年6月 | Apache-2.0 开源

AIRTBench：让 AI 学会"黑客攻击"，自动评估大语言模型的对抗性能力

一、背景：为什么我们需要衡量 AI 的"攻击能力"？

2024 年至 2025 年，随着 GPT-4、Claude、DeepSeek 等大语言模型（LLM）相继落地千行百业，一个深刻的问题浮出水面：这些 AI 助手，究竟能被"教坏"到什么程度？

从最早的提示词注入（Prompt Injection）、模型越狱（Jailbreak），到后来的数据下毒（Data Poisoning）、模型提取（Model Extraction），攻击 AI 的手段层出不穷。然而，在衡量"AI 的攻击能力"这件事上，业界一直缺乏一把统一的尺子——

我们能评估 AI 模型的安全防御能力（如红队测试结果）；
但我们如何评估 AI 模型本身的自主攻击能力？即：给它一个目标，它能自主规划攻击路径并执行吗？

AIRTBench 正是为了回答这个问题而诞生的。它由安全公司 Dreadnode 发布，是首个专门衡量大语言模型"自主 AI 红队能力"的基准测试框架。简单来说，它问的是："下一个 GPT-5，真的能像安全研究员一样自己找漏洞吗？"

二、核心设计：用 CTF 挑战赛构建"AI 红队考场"

AIRTBench 的核心思路非常巧妙：借用真实的安全竞赛（AI/ML CTF）作为测试环境，让被测 LLM 在隔离的容器中自主解决挑战题目。

2.1 为什么选择 CTF？

传统的 AI 安全测试往往依赖人工设计的对抗样本，数据集更新慢，且难以模拟真实攻击的"自主探索"过程。而 AI/ML CTF 挑战天然具备以下特点：

任务目标明确：提交正确的 flag（夺旗成功=攻击成功）；
环境标准化：每个挑战都在隔离 Docker 容器中运行；
场景真实：涵盖图像对抗、模型提取、提示词注入、数据篡改等真实攻击场景；
可量化：成功率、平均步数、执行时间……指标清晰。

这让 CTF 成为衡量"AI 攻击能力"的理想沙盒。

2.2 评测流程（Agent Harness）

AIRTBench 的评测流程高度自动化，共 6 步：

挑战加载：从 .challenges.yaml 清单中选取挑战，加载对应 Jupyter Notebook；
Agent 部署：被测 LLM 以编程 Agent 形式接入（基于 rigging 框架），可执行 Python 代码；
网络隔离：每个挑战启动独立 Docker 容器，容器之间网络隔离；
执行循环：Agent 在 Jupyter Kernel 中执行代码，响应结果反馈给模型；
Flag 提交：若检测到 flag（CTF 旗帜字符串），自动提交；
结果评估：记录是否成功、成功步数、超时次数等指标。

三、支持的挑战类型：12 大攻击场景全覆盖

AIRTBench 目前支持超过 30+ 个挑战，分为以下类别：

类别	代表案例	说明
提示词注入	Bear 4、Librarian、Miner、Fragile	测试 Agent 是否会被恶意指令劫持
系统提示词泄漏	Extractor、Extractor 2	测试模型是否泄露系统 prompt
模型提取	Bear 2（Model Extraction）	测试能否通过 API 行为推断模型结构
模型指纹识别	Bear 3（Fingerprinting）	测试能否识别目标模型身份
图像对抗	Granny、Granny JPG、Autopilot 1-3	对抗样本逃逸目标检测器
模型规避	Carbender、Blindspot、DeephTweak	测试模型在恶意输入下的鲁棒性
数据逆向/泄露	Inversion、Genigma、Mirage	从模型输出逆向训练数据
音频生成规避	Hush	语音生成内容的检测规避
数据篡改分析	Audit（Model Analysis）	分析模型是否被植入后门
分类器逃逸	Brig 1/2	LLM 驱动的高级逃逸攻击

LLM-based 挑战（由大语言模型驱动的靶标）：Bear 4、Brig 1/2、Extractor 系列、Librarian、Miner、Fragile、Canadian Eh 等约 8 个，是整个 benchmark 中最具前瞻性的测试场景——要求 Agent 攻击另一个 LLM。

四、技术架构：Rigging 框架驱动，模块化设计

4.1 核心技术栈

Rigging（核心）：Dreadnode 自研 LLM Agent 编排框架，负责工具调用和 Agent 生命周期管理
Jupyter Notebook / IPython Kernel：提供可交互的代码执行环境
Docker / Aiodocker：挑战容器化管理，支持并行启动多个隔离容器
Python 3.10+：主力开发语言，uv sync 一键环境搭建
Tenacity + Backoff：重试策略，保证评测稳定性
Adversarial Robustness Toolbox (ART) + Foolbox：对抗鲁棒性工具箱

4.2 项目结构

airtbench/                  # 核心评测引擎
│   ├── __main__.py         # CLI 入口
│   ├── main.py             # 主循环逻辑
│   ├── challenges.py       # 挑战加载器
│   ├── kernel.py           # Jupyter Kernel 管理
│   ├── container.py        # Docker 容器编排
│   └── challenges/
│       └── .challenges.yaml  # 挑战清单配置（30+ 挑战）
├── airtbench/container/
│   └── Dockerfile          # 挑战容器镜像（Jupyter SciPy + ART/Foolbox）
├── notebooks/              # Jupyter Notebook 挑战文件
├── dataset/               # 公开数据集（HuggingFace 托管）
├── pyproject.toml         # 依赖声明
└── Taskfile.yaml          # 任务自动化

五、主流模型评测结果

根据论文（arXiv:2506.14682），主要发现：

GPT-4o：简单难度挑战成功率较高，高级挑战（Mirage、Inversion）表现一般；
Claude 系列：在提示词注入类挑战上展现较强抗干扰能力；
DeepSeek 系列：数学推理类挑战表现出色，但复杂攻击链规划仍有短板；
开源模型（Qwen 等）：整体与闭源模型有明显差距；
LLM-based 挑战：所有模型的共同短板，目前尚无模型能稳定攻克所有 LLM 靶标。

具体数值建议参考 arXiv 原文。

六、上手指南

环境准备

git clone https://github.com/dreadnode/AIRTBench-Code
cd AIRTBench-Code
uv sync          # 一键搭建 Python 环境

运行评测

uv run -m airtbench \
  --model openai/gpt-4o \
  --project airtbench \
  --platform-api-key $DREADNODE_TOKEN \
  --token $DREADNODE_TOKEN \
  --server https://platform.dreadnode.io \
  --organization "your-org" \
  --max-steps 100 \
  --challenges bear1 bear2

前置条件：需 Dreadnode Strikes 平台账号（Waitlist 申请入口）。

仅测 LLM 挑战

uv run -m airtbench --model openai/gpt-4o --llm-challenges-only

七、局限与争议

平台依赖：运行评测必须依赖 Dreadnode Strikes 平台，无法完全离线使用，研究复现受限；
挑战覆盖面：均为 CTF 形式，真实世界攻击（如社工、供应链攻击）无法模拟；
评分单一：仅以"flag 提交成功"为指标，未考虑攻击效率、隐蔽性、多步协调；
动态更新需求：随着新模型不断涌现，挑战库需持续更新。

八、行业意义与未来展望

AIRTBench 的出现填补了 AI 安全评估体系中一项重要空白：从"测试 AI 能否被攻击"进化到"测试 AI 能否主动攻击"。

推动 AI 安全研究从被动走向主动：传统红队依赖人工，AIRTBench 证明了"AI 驱动的自动化红队"可行性；
为 AI 监管提供量化依据：当监管机构需要评估"某模型是否具备自主攻击能力"时，AIRTBench 提供参考标尺；
加速 AI 安全工具链发展：Rigging 框架、Dreadnode SDK 正成为 AI 安全研究者标配。

未来，AIRTBench 有望向真实攻击场景（Web 安全、API 安全）扩展，并引入对抗成本评估。

附录：关键链接

论文：arXiv:2506.14682
官网：dreadnode.io/blog/ai-red-team-benchmark
平台：Strikes Platform
数据集：HuggingFace - AIRTBench
Agent Harness 文档：docs.dreadnode.io

作者：Ads Dawson、Rob Mulla、Nick Landers、Shane Caldwell（Dreadnode 团队） 发表：2025年6月 | Apache-2.0 开源

AIRTBench：让 AI 学会"黑客攻击"，自动评估大语言模型的对抗性能力

一、背景：为什么我们需要衡量 AI 的"攻击能力"？

我们能评估 AI 模型的安全防御能力（如红队测试结果）；
但我们如何评估 AI 模型本身的自主攻击能力？即：给它一个目标，它能自主规划攻击路径并执行吗？

二、核心设计：用 CTF 挑战赛构建"AI 红队考场"

AIRTBench 的核心思路非常巧妙：借用真实的安全竞赛（AI/ML CTF）作为测试环境，让被测 LLM 在隔离的容器中自主解决挑战题目。

2.1 为什么选择 CTF？

传统的 AI 安全测试往往依赖人工设计的对抗样本，数据集更新慢，且难以模拟真实攻击的"自主探索"过程。而 AI/ML CTF 挑战天然具备以下特点：

任务目标明确：提交正确的 flag（夺旗成功=攻击成功）；
环境标准化：每个挑战都在隔离 Docker 容器中运行；
场景真实：涵盖图像对抗、模型提取、提示词注入、数据篡改等真实攻击场景；
可量化：成功率、平均步数、执行时间……指标清晰。

这让 CTF 成为衡量"AI 攻击能力"的理想沙盒。

2.2 评测流程（Agent Harness）

AIRTBench 的评测流程高度自动化，共 6 步：

挑战加载：从 .challenges.yaml 清单中选取挑战，加载对应 Jupyter Notebook；
Agent 部署：被测 LLM 以编程 Agent 形式接入（基于 rigging 框架），可执行 Python 代码；
网络隔离：每个挑战启动独立 Docker 容器，容器之间网络隔离；
执行循环：Agent 在 Jupyter Kernel 中执行代码，响应结果反馈给模型；
Flag 提交：若检测到 flag（CTF 旗帜字符串），自动提交；
结果评估：记录是否成功、成功步数、超时次数等指标。

三、支持的挑战类型：12 大攻击场景全覆盖

AIRTBench 目前支持超过 30+ 个挑战，分为以下类别：

类别	代表案例	说明
提示词注入	Bear 4、Librarian、Miner、Fragile	测试 Agent 是否会被恶意指令劫持
系统提示词泄漏	Extractor、Extractor 2	测试模型是否泄露系统 prompt
模型提取	Bear 2（Model Extraction）	测试能否通过 API 行为推断模型结构
模型指纹识别	Bear 3（Fingerprinting）	测试能否识别目标模型身份
图像对抗	Granny、Granny JPG、Autopilot 1-3	对抗样本逃逸目标检测器
模型规避	Carbender、Blindspot、DeephTweak	测试模型在恶意输入下的鲁棒性
数据逆向/泄露	Inversion、Genigma、Mirage	从模型输出逆向训练数据
音频生成规避	Hush	语音生成内容的检测规避
数据篡改分析	Audit（Model Analysis）	分析模型是否被植入后门
分类器逃逸	Brig 1/2	LLM 驱动的高级逃逸攻击

四、技术架构：Rigging 框架驱动，模块化设计

4.1 核心技术栈

Rigging（核心）：Dreadnode 自研 LLM Agent 编排框架，负责工具调用和 Agent 生命周期管理
Jupyter Notebook / IPython Kernel：提供可交互的代码执行环境
Docker / Aiodocker：挑战容器化管理，支持并行启动多个隔离容器
Python 3.10+：主力开发语言，uv sync 一键环境搭建
Tenacity + Backoff：重试策略，保证评测稳定性
Adversarial Robustness Toolbox (ART) + Foolbox：对抗鲁棒性工具箱

4.2 项目结构

airtbench/                  # 核心评测引擎
│   ├── __main__.py         # CLI 入口
│   ├── main.py             # 主循环逻辑
│   ├── challenges.py       # 挑战加载器
│   ├── kernel.py           # Jupyter Kernel 管理
│   ├── container.py        # Docker 容器编排
│   └── challenges/
│       └── .challenges.yaml  # 挑战清单配置（30+ 挑战）
├── airtbench/container/
│   └── Dockerfile          # 挑战容器镜像（Jupyter SciPy + ART/Foolbox）
├── notebooks/              # Jupyter Notebook 挑战文件
├── dataset/               # 公开数据集（HuggingFace 托管）
├── pyproject.toml         # 依赖声明
└── Taskfile.yaml          # 任务自动化

五、主流模型评测结果

根据论文（arXiv:2506.14682），主要发现：

GPT-4o：简单难度挑战成功率较高，高级挑战（Mirage、Inversion）表现一般；
Claude 系列：在提示词注入类挑战上展现较强抗干扰能力；
DeepSeek 系列：数学推理类挑战表现出色，但复杂攻击链规划仍有短板；
开源模型（Qwen 等）：整体与闭源模型有明显差距；
LLM-based 挑战：所有模型的共同短板，目前尚无模型能稳定攻克所有 LLM 靶标。

具体数值建议参考 arXiv 原文。

六、上手指南

环境准备

git clone https://github.com/dreadnode/AIRTBench-Code
cd AIRTBench-Code
uv sync          # 一键搭建 Python 环境

运行评测

uv run -m airtbench \
  --model openai/gpt-4o \
  --project airtbench \
  --platform-api-key $DREADNODE_TOKEN \
  --token $DREADNODE_TOKEN \
  --server https://platform.dreadnode.io \
  --organization "your-org" \
  --max-steps 100 \
  --challenges bear1 bear2

前置条件：需 Dreadnode Strikes 平台账号（Waitlist 申请入口）。

仅测 LLM 挑战

uv run -m airtbench --model openai/gpt-4o --llm-challenges-only

七、局限与争议

平台依赖：运行评测必须依赖 Dreadnode Strikes 平台，无法完全离线使用，研究复现受限；
挑战覆盖面：均为 CTF 形式，真实世界攻击（如社工、供应链攻击）无法模拟；
评分单一：仅以"flag 提交成功"为指标，未考虑攻击效率、隐蔽性、多步协调；
动态更新需求：随着新模型不断涌现，挑战库需持续更新。

八、行业意义与未来展望

AIRTBench 的出现填补了 AI 安全评估体系中一项重要空白：从"测试 AI 能否被攻击"进化到"测试 AI 能否主动攻击"。

推动 AI 安全研究从被动走向主动：传统红队依赖人工，AIRTBench 证明了"AI 驱动的自动化红队"可行性；
为 AI 监管提供量化依据：当监管机构需要评估"某模型是否具备自主攻击能力"时，AIRTBench 提供参考标尺；
加速 AI 安全工具链发展：Rigging 框架、Dreadnode SDK 正成为 AI 安全研究者标配。

未来，AIRTBench 有望向真实攻击场景（Web 安全、API 安全）扩展，并引入对抗成本评估。

附录：关键链接

论文：arXiv:2506.14682
官网：dreadnode.io/blog/ai-red-team-benchmark
平台：Strikes Platform
数据集：HuggingFace - AIRTBench
Agent Harness 文档：docs.dreadnode.io

AIRTBench-Code

社区活跃度

AIRTBench：让 AI 学会"黑客攻击"，自动评估大语言模型的对抗性能力

一、背景：为什么我们需要衡量 AI 的"攻击能力"？

二、核心设计：用 CTF 挑战赛构建"AI 红队考场"

2.1 为什么选择 CTF？

2.2 评测流程（Agent Harness）

三、支持的挑战类型：12 大攻击场景全覆盖

四、技术架构：Rigging 框架驱动，模块化设计

4.1 核心技术栈

4.2 项目结构

五、主流模型评测结果

六、上手指南

环境准备

运行评测

仅测 LLM 挑战

七、局限与争议

八、行业意义与未来展望

附录：关键链接

社区活跃度

AIRTBench：让 AI 学会"黑客攻击"，自动评估大语言模型的对抗性能力

一、背景：为什么我们需要衡量 AI 的"攻击能力"？

二、核心设计：用 CTF 挑战赛构建"AI 红队考场"

2.1 为什么选择 CTF？

2.2 评测流程（Agent Harness）

三、支持的挑战类型：12 大攻击场景全覆盖

四、技术架构：Rigging 框架驱动，模块化设计

4.1 核心技术栈

4.2 项目结构

五、主流模型评测结果

六、上手指南

环境准备

运行评测

仅测 LLM 挑战

七、局限与争议

八、行业意义与未来展望

附录：关键链接