蚂蚁安全开源两大框架，填补Claude Code安全漏洞

背景

2026年，AI安全从幕后走向台前。工信部NVDB平台此前发布风险预警，明确指出 Claude Code 存在安全后门隐患，可在用户不知情的情况下收集敏感信息。更早前，OpenClaw 也被反复曝出高危险漏洞。从横空出世到快速普及，再到漏洞频发、信任受损，这一轨迹几乎是当前 Agent 产品的共同写照。伴随大模型能力的快速膨胀，滥用工具、恶意代码生成、提示注入等行为风险已无法靠单个补丁解决。行业意识到，安全防护的重心需要从“漏洞修补”转向构建系统性的“安全框架”。蚂蚁安全团队正是在这一背景下，开源了两大安全框架——SingGuard-NSFA 和 SingGuard，试图从底层定义 AI 安全边界。

核心内容

蚂蚁安全最新开源的两大框架分别面向智能体和多模态大模型，核心理念是将安全检查前置、将规则动态化，并保证过程可解释与风险可扩展。

SingGuard-NSFA（面向智能体的双模推理护栏框架）

• 提供 0.8B、2B、4B、9B 四个尺寸。
• 核心思路：在智能体执行动作之前完成安全检查，同时在请求拦截和响应兜底两端设卡，将防线从文本合规推进到行为安全。
• 以 CIA 三元组（机密性、完整性、可用性）为理论底座，结合 OWASP 大模型与智能体安全指南，建立系统化的 NSFA 风险分类体系及多语种评测基准。
• 支持两种推理模式：
  • 生成式模式：逐条输出基于 NSFA 定义的链式推理分析，每步判断可追溯，适合离线合规审计。
  • 判别式模式：每次前向传播直接输出各风险域的置信度，延迟压至 45～57ms，适合高吞吐实时在线拦截。
• 设计上骨干网络冻结，外挂轻量分类头实现原生可扩展：新增风险只需补训一个分类头，不冲击已有能力。例如给 Llama Guard 3 增加一个分类头后，用户请求安全基准的 F1 值提升 17.6 个百分点。
• 在三大评测基准（用户请求安全、模型响应安全、跨数据集泛化）上均取得 SOTA，最小 0.8B 模型可比肩 8B 竞品，9B 模型泛化 F1 达 91.29%。

SingGuard（面向多模态大模型的安全框架）

• 同样提供 0.8B、2B、4B、8B 四个尺寸。
• 最大特点是将安全规则做成运行时输入：不同业务域可现场下发各自的红线，模型据此逐条判定，回答是否违反当前防控规则，而不仅是判断有无风险。
• 推理侧采用快慢分工：快思考负责低延迟秒判，慢思考负责逐规则深度推理，两者通过 early exit 自动切换，平衡效率与准确率。
• 针对线上多条规则并行审核的效率瓶颈，提出 RI-Mask 技术：共享的图文上下文只编码一次，多条规则并行判断，多模态推理最高提速 5 倍以上。

关键要点

• 行业安全思路从“补丁式修补”转向“底层框架定义安全边界”，两大框架均强调过程可解释、新增风险可扩展。
• SingGuard-NSFA 侧重智能体的行为安全，通过双模推理（生成式+判别式）实现审计与实时拦截兼顾，最小模型性能已达 8B 级别竞品水平。
• SingGuard 侧重多模态大模型的感知安全，以运行时输入规则、快慢思考分工、RI-Mask 并行优化等设计应对动态业务红线与高并发需求。
• 两大框架均采用冻结骨干+轻量外挂头的架构，新增风险只需补训分类头，不影响已有检测能力，具备插件化扩展能力。
• 蚂蚁在 AI 安全上的布局已形成体系：从早期发现 OpenClaw 等漏洞并协助修复，到联合清华大学开源 ClawAegis，再到此次发布可复用底层框架，路径从漏洞挖掘走向场景化解法再到基础设施定义。
• 蚂蚁智能体安全产品已通过信通院泰尔实验室最高等级评级，工程落地获得第三方认可。

意义与影响

Claude Code、OpenClaw 带来的讨论只是 AI Agent 安全问题的冰山一角。随着 Agent 深入办公、开发和生活场景，传统只盯着模型输出做内容审核的模式已彻底失效。风险源头从内容变为行为，且多模态让风险藏得更深、变化更快。蚂蚁安全这次开源的两套框架，本质是在回答“AI 时代的安全边界如何定义”这一底层问题。

SingGuard-NSFA 和 SingGuard 的发布，标志着行业开始从“被动打补丁”走向“主动构建安全基础设施”。它们不仅提供了可落地的性能指标（SOTA、低延迟、高加速比），更给出了一种可解释、可扩展、可插拔的范式，让不同业务域可以灵活定义自己的安全红线。对于整个行业而言，这类框架有望成为未来智能体运行所依赖的安全底座，推动 AI 安全从应急响应走向持续治理。蚂蚁作为在支付安全和风控领域有长期积累的公司，其在 AI 安全上的系统性投入，也为行业提供了一个值得参考的演进样本。