作者：Ads Dawson、Rob Mulla、Nick Landers、Shane Caldwell（Dreadnode 团队） 发表：2025年6月 | Apache-2.0 开源

AIRTBench：让 AI 学会"黑客攻击"，自动评估大语言模型的对抗性能力

一、背景：为什么我们需要衡量 AI 的"攻击能力"？

2024 年至 2025 年，随着 GPT-4、Claude、DeepSeek 等大语言模型（LLM）相继落地千行百业，一个深刻的问题浮出水面：这些 AI 助手，究竟能被"教坏"到什么程度？

从最早的提示词注入（Prompt Injection）、模型越狱（Jailbreak），到后来的数据下毒（Data Poisoning）、模型提取（Model Extraction），攻击 AI 的手段层出不穷。然而，在衡量"AI 的攻击能力"这件事上，业界一直缺乏一把统一的尺子——

我们能评估 AI 模型的安全防御能力（如红队测试结果）；
但我们如何评估 AI 模型本身的自主攻击能力？即：给它一个目标，它能自主规划攻击路径并执行吗？

AIRTBench 正是为了回答这个问题而诞生的。它由安全公司 Dreadnode 发布，是首个专门衡量大语言模型"自主 AI 红队能力"的基准测试框架。简单来说，它问的是："下一个 GPT-5，真的能像安全研究员一样自己找漏洞吗？"

二、核心设计：用 CTF 挑战赛构建"AI 红队考场"

AIRTBench 的核心思路非常巧妙：借用真实的安全竞赛（AI/ML CTF）作为测试环境，让被测 LLM 在隔离的容器中自主解决挑战题目。

2.1 为什么选择 CTF？

传统的 AI 安全测试往往依赖人工设计的对抗样本，数据集更新慢，且难以模拟真实攻击的"自主探索"过程。而 AI/ML CTF 挑战天然具备以下特点：

任务目标明确：提交正确的 flag（夺旗成功=攻击成功）；
环境标准化：每个挑战都在隔离 Docker 容器中运行；
场景真实：涵盖图像对抗、模型提取、提示词注入、数据篡改等真实攻击场景；
可量化：成功率、平均步数、执行时间……指标清晰。

这让 CTF 成为衡量"AI 攻击能力"的理想沙盒。

2.2 评测流程（Agent Harness）

AIRTBench 的评测流程高度自动化，共 6 步：

挑战加载：从 .challenges.yaml 清单中选取挑战，加载对应 Jupyter Notebook；
Agent 部署：被测 LLM 以编程 Agent 形式接入（基于 rigging 框架），可执行 Python 代码；
网络隔离：每个挑战启动独立 Docker 容器，容器之间网络隔离；
执行循环：Agent 在 Jupyter Kernel 中执行代码，响应结果反馈给模型；
Flag 提交：若检测到 flag（CTF 旗帜字符串），自动提交；
结果评估：记录是否成功、成功步数、超时次数等指标。

三、支持的挑战类型：12 大攻击场景全覆盖

AIRTBench 目前支持超过 30+ 个挑战，分为以下类别：

类别	代表案例	说明
提示词注入	Bear 4、Librarian、Miner、Fragile	测试 Agent 是否会被恶意指令劫持
系统提示词泄漏	Extractor、Extractor 2	测试模型是否泄露系统 prompt
模型提取	Bear 2（Model Extraction）	测试能否通过 API 行为推断模型结构
模型指纹识别	Bear 3（Fingerprinting）	测试能否识别目标模型身份
图像对抗	Granny、Granny JPG、Autopilot 1-3	对抗样本逃逸目标检测器
模型规避	Carbender、Blindspot、DeephTweak	测试模型在恶意输入下的鲁棒性
数据逆向/泄露	Inversion、Genigma、Mirage	从模型输出逆向训练数据
音频生成规避	Hush	语音生成内容的检测规避
数据篡改分析	Audit（Model Analysis）	分析模型是否被植入后门
分类器逃逸	Brig 1/2	LLM 驱动的高级逃逸攻击

LLM-based 挑战（由大语言模型驱动的靶标）：Bear 4、Brig 1/2、Extractor 系列、Librarian、Miner、Fragile、Canadian Eh 等约 8 个，是整个 benchmark 中最具前瞻性的测试场景——要求 Agent 攻击另一个 LLM。

四、技术架构：Rigging 框架驱动，模块化设计

4.1 核心技术栈

Rigging（核心）：Dreadnode 自研 LLM Agent 编排框架，负责工具调用和 Agent 生命周期管理
Jupyter Notebook / IPython Kernel：提供可交互的代码执行环境
Docker / Aiodocker：挑战容器化管理，支持并行启动多个隔离容器
Python 3.10+：主力开发语言，uv sync 一键环境搭建
Tenacity + Backoff：重试策略，保证评测稳定性
Adversarial Robustness Toolbox (ART) + Foolbox：对抗鲁棒性工具箱

4.2 项目结构

airtbench/                  # 核心评测引擎
│   ├── __main__.py         # CLI 入口
│   ├── main.py             # 主循环逻辑
│   ├── challenges.py       # 挑战加载器
│   ├── kernel.py           # Jupyter Kernel 管理
│   ├── container.py        # Docker 容器编排
│   └── challenges/
│       └── .challenges.yaml  # 挑战清单配置（30+ 挑战）
├── airtbench/container/
│   └── Dockerfile          # 挑战容器镜像（Jupyter SciPy + ART/Foolbox）
├── notebooks/              # Jupyter Notebook 挑战文件
├── dataset/               # 公开数据集（HuggingFace 托管）
├── pyproject.toml         # 依赖声明
└── Taskfile.yaml          # 任务自动化

五、主流模型评测结果

根据论文（arXiv:2506.14682），主要发现：

GPT-4o：简单难度挑战成功率较高，高级挑战（Mirage、Inversion）表现一般；
Claude 系列：在提示词注入类挑战上展现较强抗干扰能力；
DeepSeek 系列：数学推理类挑战表现出色，但复杂攻击链规划仍有短板；
开源模型（Qwen 等）：整体与闭源模型有明显差距；
LLM-based 挑战：所有模型的共同短板，目前尚无模型能稳定攻克所有 LLM 靶标。

具体数值建议参考 arXiv 原文。

六、上手指南

环境准备

git clone https://github.com/dreadnode/AIRTBench-Code
cd AIRTBench-Code
uv sync          # 一键搭建 Python 环境

运行评测

uv run -m airtbench \
  --model openai/gpt-4o \
  --project airtbench \
  --platform-api-key $DREADNODE_TOKEN \
  --token $DREADNODE_TOKEN \
  --server https://platform.dreadnode.io \
  --organization "your-org" \
  --max-steps 100 \
  --challenges bear1 bear2

前置条件：需 Dreadnode Strikes 平台账号（Waitlist 申请入口）。

仅测 LLM 挑战

uv run -m airtbench --model openai/gpt-4o --llm-challenges-only

七、局限与争议

平台依赖：运行评测必须依赖 Dreadnode Strikes 平台，无法完全离线使用，研究复现受限；
挑战覆盖面：均为 CTF 形式，真实世界攻击（如社工、供应链攻击）无法模拟；
评分单一：仅以"flag 提交成功"为指标，未考虑攻击效率、隐蔽性、多步协调；
动态更新需求：随着新模型不断涌现，挑战库需持续更新。

八、行业意义与未来展望

AIRTBench 的出现填补了 AI 安全评估体系中一项重要空白：从"测试 AI 能否被攻击"进化到"测试 AI 能否主动攻击"。

推动 AI 安全研究从被动走向主动：传统红队依赖人工，AIRTBench 证明了"AI 驱动的自动化红队"可行性；
为 AI 监管提供量化依据：当监管机构需要评估"某模型是否具备自主攻击能力"时，AIRTBench 提供参考标尺；
加速 AI 安全工具链发展：Rigging 框架、Dreadnode SDK 正成为 AI 安全研究者标配。

未来，AIRTBench 有望向真实攻击场景（Web 安全、API 安全）扩展，并引入对抗成本评估。

附录：关键链接

论文：arXiv:2506.14682
官网：dreadnode.io/blog/ai-red-team-benchmark
平台：Strikes Platform
数据集：HuggingFace - AIRTBench
Agent Harness 文档：docs.dreadnode.io

作者：Ads Dawson、Rob Mulla、Nick Landers、Shane Caldwell（Dreadnode 团队） 发表：2025年6月 | Apache-2.0 开源

AIRTBench：让 AI 学会"黑客攻击"，自动评估大语言模型的对抗性能力

一、背景：为什么我们需要衡量 AI 的"攻击能力"？

我们能评估 AI 模型的安全防御能力（如红队测试结果）；
但我们如何评估 AI 模型本身的自主攻击能力？即：给它一个目标，它能自主规划攻击路径并执行吗？

二、核心设计：用 CTF 挑战赛构建"AI 红队考场"

AIRTBench 的核心思路非常巧妙：借用真实的安全竞赛（AI/ML CTF）作为测试环境，让被测 LLM 在隔离的容器中自主解决挑战题目。

2.1 为什么选择 CTF？

传统的 AI 安全测试往往依赖人工设计的对抗样本，数据集更新慢，且难以模拟真实攻击的"自主探索"过程。而 AI/ML CTF 挑战天然具备以下特点：

任务目标明确：提交正确的 flag（夺旗成功=攻击成功）；
环境标准化：每个挑战都在隔离 Docker 容器中运行；
场景真实：涵盖图像对抗、模型提取、提示词注入、数据篡改等真实攻击场景；
可量化：成功率、平均步数、执行时间……指标清晰。

这让 CTF 成为衡量"AI 攻击能力"的理想沙盒。

2.2 评测流程（Agent Harness）

AIRTBench 的评测流程高度自动化，共 6 步：

挑战加载：从 .challenges.yaml 清单中选取挑战，加载对应 Jupyter Notebook；
Agent 部署：被测 LLM 以编程 Agent 形式接入（基于 rigging 框架），可执行 Python 代码；
网络隔离：每个挑战启动独立 Docker 容器，容器之间网络隔离；
执行循环：Agent 在 Jupyter Kernel 中执行代码，响应结果反馈给模型；
Flag 提交：若检测到 flag（CTF 旗帜字符串），自动提交；
结果评估：记录是否成功、成功步数、超时次数等指标。

三、支持的挑战类型：12 大攻击场景全覆盖

AIRTBench 目前支持超过 30+ 个挑战，分为以下类别：

类别	代表案例	说明
提示词注入	Bear 4、Librarian、Miner、Fragile	测试 Agent 是否会被恶意指令劫持
系统提示词泄漏	Extractor、Extractor 2	测试模型是否泄露系统 prompt
模型提取	Bear 2（Model Extraction）	测试能否通过 API 行为推断模型结构
模型指纹识别	Bear 3（Fingerprinting）	测试能否识别目标模型身份
图像对抗	Granny、Granny JPG、Autopilot 1-3	对抗样本逃逸目标检测器
模型规避	Carbender、Blindspot、DeephTweak	测试模型在恶意输入下的鲁棒性
数据逆向/泄露	Inversion、Genigma、Mirage	从模型输出逆向训练数据
音频生成规避	Hush	语音生成内容的检测规避
数据篡改分析	Audit（Model Analysis）	分析模型是否被植入后门
分类器逃逸	Brig 1/2	LLM 驱动的高级逃逸攻击

四、技术架构：Rigging 框架驱动，模块化设计

4.1 核心技术栈

Rigging（核心）：Dreadnode 自研 LLM Agent 编排框架，负责工具调用和 Agent 生命周期管理
Jupyter Notebook / IPython Kernel：提供可交互的代码执行环境
Docker / Aiodocker：挑战容器化管理，支持并行启动多个隔离容器
Python 3.10+：主力开发语言，uv sync 一键环境搭建
Tenacity + Backoff：重试策略，保证评测稳定性
Adversarial Robustness Toolbox (ART) + Foolbox：对抗鲁棒性工具箱

4.2 项目结构

airtbench/                  # 核心评测引擎
│   ├── __main__.py         # CLI 入口
│   ├── main.py             # 主循环逻辑
│   ├── challenges.py       # 挑战加载器
│   ├── kernel.py           # Jupyter Kernel 管理
│   ├── container.py        # Docker 容器编排
│   └── challenges/
│       └── .challenges.yaml  # 挑战清单配置（30+ 挑战）
├── airtbench/container/
│   └── Dockerfile          # 挑战容器镜像（Jupyter SciPy + ART/Foolbox）
├── notebooks/              # Jupyter Notebook 挑战文件
├── dataset/               # 公开数据集（HuggingFace 托管）
├── pyproject.toml         # 依赖声明
└── Taskfile.yaml          # 任务自动化

五、主流模型评测结果

根据论文（arXiv:2506.14682），主要发现：

GPT-4o：简单难度挑战成功率较高，高级挑战（Mirage、Inversion）表现一般；
Claude 系列：在提示词注入类挑战上展现较强抗干扰能力；
DeepSeek 系列：数学推理类挑战表现出色，但复杂攻击链规划仍有短板；
开源模型（Qwen 等）：整体与闭源模型有明显差距；
LLM-based 挑战：所有模型的共同短板，目前尚无模型能稳定攻克所有 LLM 靶标。

具体数值建议参考 arXiv 原文。

六、上手指南

环境准备

git clone https://github.com/dreadnode/AIRTBench-Code
cd AIRTBench-Code
uv sync          # 一键搭建 Python 环境

运行评测

uv run -m airtbench \
  --model openai/gpt-4o \
  --project airtbench \
  --platform-api-key $DREADNODE_TOKEN \
  --token $DREADNODE_TOKEN \
  --server https://platform.dreadnode.io \
  --organization "your-org" \
  --max-steps 100 \
  --challenges bear1 bear2

前置条件：需 Dreadnode Strikes 平台账号（Waitlist 申请入口）。

仅测 LLM 挑战

uv run -m airtbench --model openai/gpt-4o --llm-challenges-only

七、局限与争议

平台依赖：运行评测必须依赖 Dreadnode Strikes 平台，无法完全离线使用，研究复现受限；
挑战覆盖面：均为 CTF 形式，真实世界攻击（如社工、供应链攻击）无法模拟；
评分单一：仅以"flag 提交成功"为指标，未考虑攻击效率、隐蔽性、多步协调；
动态更新需求：随着新模型不断涌现，挑战库需持续更新。

八、行业意义与未来展望

AIRTBench 的出现填补了 AI 安全评估体系中一项重要空白：从"测试 AI 能否被攻击"进化到"测试 AI 能否主动攻击"。

推动 AI 安全研究从被动走向主动：传统红队依赖人工，AIRTBench 证明了"AI 驱动的自动化红队"可行性；
为 AI 监管提供量化依据：当监管机构需要评估"某模型是否具备自主攻击能力"时，AIRTBench 提供参考标尺；
加速 AI 安全工具链发展：Rigging 框架、Dreadnode SDK 正成为 AI 安全研究者标配。

未来，AIRTBench 有望向真实攻击场景（Web 安全、API 安全）扩展，并引入对抗成本评估。

附录：关键链接

论文：arXiv:2506.14682
官网：dreadnode.io/blog/ai-red-team-benchmark
平台：Strikes Platform
数据集：HuggingFace - AIRTBench
Agent Harness 文档：docs.dreadnode.io