OWASP 红队能力分类法全文翻译：AI 安全的共同语言

结论

这是 OWASP GenAI 安全项目《解决方案全景——红队分类法》（Solutions Landscape – Red Teaming Taxonomy）的全文中文翻译。该文档是「Gen AI 与代理红队解决方案指南」的基础分类法，由 OWASP GenAI Security Project 集体出品，资源页显示发布于 2026 年 6 月 28 日，依据 OWASP 站点级声明采用 CC BY-SA 4.0 许可，允许全文翻译与再发布。

如果说此前已翻译的《AI 与代理红队全景速查表》是「一页速查」，这份分类法就是它背后的「能力字典」——它为 AI 与代理红队软件定义了一套能力分类体系，把红队（进攻/对抗模拟）、蓝队（防御/检测/响应）、紫队（持续攻防融合）、共享能力四大类，逐一沿 AI 生命周期九阶段展开，每个能力都给出一句话精确定义。它的目的是建立一套「共同语言」，把「需要什么能力」与「方案如何实现能力」分离开，从而支持一致的工具对比、清晰的缺口分析与可复现的评估。

原文的核心价值主张：随着攻击者日益把 AI 武器化，防御者也必须（负责任地）这样做。AI 加速与代理红队提供了持续模拟高级对手、为 AI 原生威胁准备基础设施、并针对 AI 赋能攻击日益增长的规模/速度/复杂度加固系统的手段。该分类法扎根于 AI 应用与部署的全生命周期，承认「AI 风险不仅在部署时出现，而是从规划、开发一直贯穿到运营与治理」。

对企业启示：这份分类法是企业做 AI 安全工具选型（RFP）与能力自建的「标准词汇表」。企业可以用它逐项核查自有/拟采购工具在红蓝紫三队 × 九阶段上的能力覆盖，识别缺口；也可用于把技术控制与治理、合规、高管监督对齐，并把 AI 风险管理整合进现有 DevSecOps/SecOps 工作流。

原文档为 CC BY-SA 4.0 许可，本译文以相同许可分发。以下为忠实全文翻译。

原文全文翻译

目录

• 引言（Introduction）　2
• 本分类法的目的（Purpose of This Taxonomy）　2
• 能力类别（Capability Categories）　2
• 红队（进攻/攻击模拟）　3
• 蓝队（防御/检测/响应）　3
• 紫队（持续攻防融合）　3
• 共享能力　3
• 能力矩阵（Capability Matrix）　3
• 生命周期覆盖（Lifecycle Coverage）　4
• 目标受众（Intended Audience）　4
• 能力详解（Capabilities Detail）　5
• 1. 红队能力　5（范围/规划、数据增强与微调、开发与实验、测试与评估、发布、部署、运营、监控、治理）
• 2. 蓝队能力　7
• 3. 紫队能力　9
• 4. 共享能力　11

引言

Gen AI 与代理红队解决方案指南——分类法

随着组织日益把生成式 AI 与自主代理部署进业务关键工作流，传统应用安全实践已不再充分。AI 系统引入了新类别的风险，包括提示注入、模型滥用、代理权限提升、数据投毒、幻觉，以及在整个 AI 采用生命周期中持续演化的涌现行为。

Gen AI 与代理红队提供了一种结构化的、覆盖全生命周期的方法，通过协调的对抗性测试、防御性验证与持续反馈闭环，来识别、度量、缓解并治理这些风险。

本分类法的目的

本解决方案指南为 AI 与代理红队软件定义了一套能力分类体系，其组织方式旨在帮助组织：

• 在一个快速演化的市场中评估并比较开源与商业解决方案；
• 建立一致的 AI 安全与风险管理实践；
• 把技术控制与治理、合规及高管监督对齐；
• 把 AI 风险管理整合进现有的 DevSecOps 与 SecOps 工作流。

该分类法扎根于 Gen AI 与代理应用及部署的生命周期，承认 AI 风险不仅在部署时出现，而是从规划与开发一直贯穿到运营与治理。

本文档充当「AI 与代理红队解决方案指南」的基础分类法。它为红队、蓝队与紫队的能力建立了一套共同语言与结构化分类，按从业者生命周期阶段组织。该分类法旨在支撑配套的解决方案指南与速查表——后者会详细映射具体的工具、平台与解决方案类别如何覆盖每项能力。通过把「需要什么能力」与「方案如何实现能力」分离开，该分类法支持一致的比较、更清晰的缺口分析，以及随着威胁与技术演化对 AI 与代理红队解决方案的可复现评估。

能力类别

该框架把能力组织为四类，与安全协作及协同安全团队角色对齐。

红队（进攻/攻击模拟）：聚焦于通过模拟恶意用户、被攻破的代理与供应链攻击，主动发现 AI 模型、代理、数据管线与集成中的弱点。

蓝队（防御/检测/响应）：确保护栏、策略、监控与运行时保护能够跨环境预防、检测并响应 AI 特有威胁。

紫队（持续攻防融合）：把红队与蓝队活动整合进闭环反馈系统，确保对抗性发现直接改善防御控制、策略与运营姿态。

共享能力：基础性能力——如资产清单、遥测、出处、指标与审计产物——它们支撑跨所有团队的一致性、自动化与治理。

能力矩阵

（原文此处为一张能力矩阵图，按四大能力类别与九阶段生命周期交叉呈现能力分布；为图形化内容，无正文文字。）

生命周期覆盖

能力被映射到完整的 AI 生命周期：

• 范围/规划（Scope / Plan）——威胁建模、攻击面映射、资产清单与风险优先级排序
• 数据增强与微调（Data Augmentation & Fine-Tuning）——数据完整性、偏见、投毒韧性与出处
• 开发与实验（Development & Experimentation）——模型与代理测试、工具安全与开发者工作流
• 测试与评估（Test & Evaluation）——自动化对抗测试、护栏验证与策略执行
• 发布（Release）——供应链完整性、出处与风险接受门禁
• 部署（Deploy）——运行时控制、策略执行与环境隔离
• 运营（Operate）——持续对抗活动、检测与响应
• 监控（Monitor）——遥测、漂移分析与威胁狩猎
• 治理（Govern）——可审计性、合规对齐、高管报告与持续改进

这种基于生命周期的结构确保 AI 风险在部署之前、之中和之后都被处理，而不是被当作一次性的时间点评估。

目标受众

本指南面向：

• 为 AI 驱动的威胁演化做准备的安全负责人
• AI 平台与基础设施负责人
• 事件响应与威胁狩猎团队
• 监督 AI 采用的风险与治理负责人

随着攻击者日益把 AI 武器化，防御者也必须（负责任地）这样做。AI 加速与代理红队提供了这样的手段：持续模拟高级对手、为 AI 原生威胁准备基础设施，并针对 AI 赋能攻击日益增长的规模、速度与复杂度加固系统。

能力详解

能力被映射到完整的 AI 生命周期。

1. 红队能力（进攻/对抗模拟）

范围/规划

• 威胁建模设计辅助：引导从业者识别跨模型、代理、数据管线与集成的 AI 特有威胁行为体、滥用场景、攻击路径与失败模式的结构化工具。
• LLM/代理攻击面映射：枚举并可视化暴露的提示词、工具、API、记忆存储、插件与决策边界的能力——在这些位置可能发生对抗性交互或利用。

数据增强与微调

• 数据投毒模糊测试：有意注入畸形、对抗性或误导性训练数据，以评估模型敏感性、鲁棒性与对投毒攻击的易感性的技术。
• 合成插入生成：生成人工的恶意、有偏见或边缘案例数据，旨在不使用真实世界敏感数据的情况下对训练与微调管线做压力测试。
• 恶意模型工件：模拟被篡改或被攻破的模型文件、权重或元数据，用于评估 AI 供应链中的检测、验证与完整性控制。

开发与实验

• 模型漏洞扫描：对模型进行自动化测试，检查已知与新兴弱点，如提示注入、越狱、偏见放大、不安全补全与意外能力暴露。
• 代理逻辑破坏测试：在对抗性操纵推理链、记忆、工具输出或控制逻辑的条件下评估代理工作流，以发现不安全的自主行为。

测试与评估

• 自动化对抗套件：可复现的对抗测试用例集合，跨常见与新颖攻击模式演练模型与代理，以建立基线与对比性风险指标。
• 提示链攻击：利用多步提示依赖来诱导策略绕过、目标劫持或意外行为的测试技术——这些在单提示测试中不可见。
• 多轮攻击：跨延长交互的对抗测试，以识别仅通过持续对话或状态累积才出现的涌现性失败。
• 协议攻击（A2A、MCP）：模拟对代理间与模型通信协议的恶意使用或欺骗，以测试信任边界与认证机制。
• RAG 投毒场景运行器：通过操纵索引数据或检索逻辑来影响输出，针对检索增强生成管线执行对抗场景。

发布

• 供应链攻击模拟：对模型、数据与依赖的交付流程做对抗测试，以评估对受损组件、未授权更改或出处失败的暴露。

部署

• 工具链/插件滥用模拟：测试已部署的工具与插件，以识别集成导致权限提升、数据外泄或意外副作用的滥用路径。
• 代理权限提升仿真：模拟代理试图超越预期权限、访问受限工具或绕过已部署环境中控制边界的场景。
• 跨租户数据暴露测试：验证已部署的 AI 系统强制执行租户隔离，并防止跨用户或跨组织边界的意外数据泄露。

运营

• 自主红队机器人：自主的对抗性代理，持续探测已部署 AI 系统的弱点，无需人工执行测试。
• 持续提示模糊测试：持续生成与变异提示词，以在生产或类生产系统中发现新的攻击模式与涌现性失败模式。
• 记忆投毒：测试代理记忆存储与长期状态机制，以评估其对持久操纵或破坏的易感性。

监控

• 合成用户与流氓代理生成：创建模拟的恶意用户或被攻破的代理，以在真实运营条件下测试检测与监控能力。

治理

• 审计级攻击路径回放：以完整上下文与证据复现对抗测试与攻击的能力，以支持审计、合规审查与事后分析。

2. 蓝队能力（防御/检测/响应）

范围/规划

• AI 资产清单：对用于建立所有权与问责的 AI 模型、代理、数据集、工具、插件与环境的集中且持续更新的目录。
• AI 态势仪表盘（AI-SPM / AI-TRiSM）：聚合 AI 风险指标、控制覆盖与合规信号的仪表盘，以提供跨整个 AI 资产群的态势感知。
• 风险评分板：基于可能性、影响与控制有效性量化 AI 风险的机制，以支持优先级排序与决策。

数据增强与微调

• 数据谱系与出处追踪：追踪训练与微调数据的来源、转换与使用的能力，以支持完整性、合规与事件响应。
• DLP 扫描：检测 AI 数据集内敏感、个人或受监管信息，以降低隐私与监管风险。
• 偏见-毒性协同审计：对数据集与模型输出中的公平性、偏见与有害内容特征做联合评估，以预防系统性危害。

开发与实验

• SAST / DAST / IAST 扫描：把传统应用安全测试方法应用于 AI 相关代码、服务与基础设施组件。
• LLM 插件、工具与基础设施扫描：评估第三方与内部 AI 集成的漏洞、错误配置与不安全行为。

测试与评估

• 护栏一致性测试：验证已部署护栏在预期与对抗条件下都能一致执行内容、安全与行为策略。
• 策略测试与验证：系统性评估策略定义，以确保它们完整、正确实现，并与组织意图对齐。

发布

• 安全 CI/CD 门禁：自动化执行点，除非满足既定的安全与风险标准，否则阻止 AI 工件被发布。
• 签名与出处验证：核实已发布的模型、代码与数据工件源自可信来源且未被更改。

部署

• LLM/代理防火墙：运行时执行层，基于既定策略与风险阈值过滤输入、输出与工具使用。
• 策略管理：跨环境定义、版本化与部署 AI 安全与安全策略的集中系统。

运营

• 运行时 AI-SPM / AI-WAF：在运营期间检测并缓解针对 AI 系统攻击的持续监控与保护能力。
• 异常与漂移检测：检测模型行为、代理行动或数据分布中可能表明失败或攻击的偏离。
• 信任边界告警：识别代理、系统、用户与数据之间既定信任边界被违反的告警机制。

监控

• 态势与指标收集：从已部署 AI 系统聚合运营、安全与风险指标，以支持分析与报告。
• 面向 AI 与代理信号的 UEBA：应用于 AI 与代理活动的基于行为的分析，以检测异常或恶意模式。

治理

• 策略与合规编排（AI-TRiSM）：使 AI 运营跨生命周期与监管、法律及内部治理要求对齐的能力。
• 高管报告：面向领导层与董事会受众的 AI 风险态势、趋势与残余风险的高层摘要。

3. 紫队能力（集成红蓝反馈闭环）

范围/规划

• 导入红队场景：摄取对抗测试用例与威胁场景，以实现协调的防御性验证。
• 把红队场景映射到蓝队控制：攻击与防御措施之间的可追溯性，以识别缺口并度量覆盖。

数据增强与微调

• 把红队变异回放到蓝队过滤器：重新执行已知的对抗数据模式，以确认防御控制随时间保持有效。
• 语料差异比对：比较数据集版本，以识别可能引入新风险或回归的变化。

开发与实验

• 交互式沙箱：红队与蓝队在其中协作测试攻击与防御、而无生产风险的共享环境。
• 防御者信号分析：分析对抗测试期间产生的检测输出，以评估信号质量与覆盖。
• 推理轨迹捕获：收集模型或代理的推理步骤，以支持联合调查与修复。
• 失败测试的自动开工单：当对抗测试揭示控制失败时，自动创建修复工作项。

测试与评估

• 一键紫队运行：把对抗测试与集成的防御性度量及报告统一执行。
• 指标导出（蓝队 KPI）：导出与对抗结果对齐的防御指标，以支持持续改进。
• 成功阈值分析：定义并评估可接受的性能与风险阈值。
• 幻觉 vs 失准标注：对失败进行分类，以区分事实错误与策略或对齐违规。
• 持续集成钩子：把紫队测试整合进持续集成工作流。

发布

• 紫队管线分析：对发布管线做端到端评估，以从红蓝两方视角识别残余风险。
• 发布风险仪表盘：在发布时对聚合风险与缓解措施的可视化。
• 回滚脚本生成：自动准备回滚程序，以缩小失败发布的爆炸半径。

部署

• 实时流量混沌模拟：对实时或镜像流量做受控扰动，以测试压力下的韧性与检测。
• 实时策略影子模式：在不执行的情况下观察策略效果，以评估潜在影响。
• 协议欺骗（MCP / A2A）：测试对欺骗性或恶意代理间通信的检测与响应。
• 成本影响追踪：度量与攻击和防御相关的财务与运营成本。

运营

• 闭环紫队辅导：利用攻击结果持续调优防御的自动化反馈机制。
• 红/蓝告警关联：把对抗行动与防御告警关联，以验证覆盖与准确性。
• 规则调优：基于观察到的失败精炼防御性检测与执行规则。
• 代理行为基线化：建立正常行为画像，以改善异常检测。
• 护栏自动修补：响应发现的弱点自动更新护栏。

监控

• 紫队 SIEM 视角：结合对抗性与防御性遥测的统一分析层。
• 合并遥测分析：把红队活动与蓝队表现关联的联合报告。
• 时间序列评分：随时间追踪风险与控制有效性趋势。
• 自适应狩猎包：由近期对抗发现驱动的动态威胁狩猎策略。
• 模型漂移 vs 威胁漂移分析：区分良性模型演化与对抗性操纵。

治理

• 残余风险分析循环：在缓解努力之后对剩余风险的持续评估。
• 风险模拟器：对未来潜在 AI 风险场景的前瞻式建模。
• 对再训练与事件响应手册的反馈：把对抗发现系统性纳入模型改进与事件响应流程。

4. 共享能力（跨类别基础）

范围/规划

• 风险分类法导入/导出：AI 风险的标准化表示，以实现跨工具与框架的互操作性。
• 可视化数据流映射：AI 系统依赖与信任边界的共享可视化。
• 把测试导出为用户故事：供沟通与治理使用的、人类可读的测试表示。

数据增强与微调

• 偏见/PII 记分卡：敏感数据与偏见指标的标准化报告。
• 签名数据包：跨团队使用的、密码学可验证的数据集。

开发与实验

• IDE 插件：在生命周期早期浮现 AI 风险的开发者集成工具。

发布与运营

• AI-BOM / SBOM 差异比对：跨模型、数据与代码的可追溯性与变更检测。

治理

• 框架映射：把能力对齐到 NIST AI RMF、OWASP、MITRE 与 ISO 等标准。
• 签名工件库：为审计与合规对证据与工件做防篡改存储。

中文解读与企业落地方法

这份分类法与「速查表」的关系及独立价值

第一，它是「能力字典」，速查表是「一页索引」。此前翻译的速查表把九阶段 × 红蓝紫三队压缩成一页要点，而这份分类法给每项能力配了一句话精确定义（如「数据投毒模糊测试=有意注入畸形/对抗/误导性训练数据以评估模型对投毒的易感性」）。企业做工具选型或自建能力时，需要的是这份定义级别的精确描述——它让你能判断某个厂商宣称的「AI 红队能力」到底覆盖了分类法里的哪几项，避免被模糊营销词糊弄。

第二，「把需要什么能力与方案如何实现分离」是这份文档最核心的方法论。原文明确：分类法只定义「能力是什么」，配套的解决方案指南与能力矩阵才映射「哪些工具实现了它」。这给企业一个清晰的采购评估框架——先用分类法列出需求能力清单（what），再用能力矩阵核对候选工具覆盖（how），缺口一目了然。

第三，四类能力的划分（红/蓝/紫/共享）对应四种团队角色与预算科目。红队是进攻测试投入，蓝队是防御工具投入，紫队是「让红队发现真正转化为防御改进」的闭环投入，共享能力是跨团队的公共基础设施（资产清单、遥测、出处、签名工件库）。企业安全预算若只投红队（攻防演练）和蓝队（护栏/监控），往往缺紫队与共享能力——而这两类恰恰是决定「安全投入能否沉淀为组织能力」的关键。

落地步骤

1. 建能力对照矩阵：把这份分类法的四大类 × 九阶段 × 每项能力做成一张企业专属矩阵，逐项标注「自有工具覆盖 / 拟采购 / 缺失 / 不适用」。
2. 采购用能力清单：写 AI 安全工具 RFP 时，直接引用分类法的能力术语（如「要求具备审计级攻击路径回放」「要求支持代理权限提升仿真」「要求 AgBOM/AI-BOM 差异比对」），让供应商逐项应答，而非用模糊的「全面 AI 安全」。
3. 优先补紫队与共享能力：多数企业红蓝队已有基础，优先补齐紫队闭环（导入红队场景→映射蓝队控制→自动开工单→回归验证）与共享能力（AI 资产清单、签名工件库、框架映射）。
4. 按生命周期嵌入 DevSecOps：把九阶段能力对应到企业现有 SDLC 阶段——规划期做威胁建模与攻击面映射，开发期做模型漏洞扫描与 IDE 插件，发布期做安全 CI/CD 门禁与签名验证，运营期做运行时 AI-WAF 与持续提示模糊测试。
5. 治理阶段对齐合规：用「框架映射」能力把测试结果对齐 NIST AI RMF、OWASP、MITRE、ISO，用「高管报告」「残余风险分析循环」支撑董事会级 AI 风险监督。

人工复核点与失败条件

• 失败条件：把 AI 安全评估做成一次性时间点检查（原文明确要求覆盖部署前/中/后全生命周期）。
• 失败条件：用模糊营销词采购工具，不对照分类法逐项核验能力覆盖。
• 失败条件：只投红蓝队、不建紫队闭环与共享能力——对抗发现无法沉淀，安全投入重复浪费。
• 失败条件：把「防御者也要用 AI」误解为无约束地攻击（原文强调「负责任地」这样做，红队活动本身需受控）。
• 人工复核点：能力对照矩阵中「缺失」项的处置决策（采购/自建/接受风险）；红队活动的授权边界与受控范围；治理阶段残余风险的高管接受签字。

试点与验收

• 试点场景：选一条 AI 应用的完整生命周期（规划→开发→发布→部署→运营），按四大能力类别做一次全面能力自评与补缺。
• 试点周期：10—12 周。第 1—2 周：能力对照矩阵盘点；第 3—4 周：补红队能力缺口（威胁建模、攻击面映射、对抗套件）；第 5—6 周：补蓝队能力缺口（资产清单、AI-SPM、护栏一致性测试）；第 7—8 周：补紫队闭环（场景映射、自动开工单、一键紫队运行）；第 9—10 周：补共享能力（签名工件库、框架映射）；第 11—12 周：治理阶段整合与高管报告。
• 基线：试点前用分类法矩阵自评一次，统计四大类 × 九阶段的能力覆盖率（已具备格数/总格数）。
• 验收指标：
• 覆盖：四大类能力矩阵覆盖率从基线提升到约定目标（如红蓝队 ≥80%、紫队与共享能力 ≥60%）；九阶段无「全空白」阶段。
• 闭环：紫队「红队发现→蓝队控制映射→自动开工单→回归验证」全链路跑通，闭环率有量化数据。
• 采购：RFP 用分类法术语逐项应答，工具能力覆盖可核对、缺口可量化。
• 合规：完成对至少一个框架（NIST AI RMF/OWASP/MITRE/ISO）的能力映射，产出高管级风险报告。
• 扩大条件：能力矩阵、RFP 模板、紫队闭环流程模板化，推广到其余 AI 应用与团队。
• 停止条件：关键能力（如运行时 AI-WAF、跨租户隔离测试、审计级攻击路径回放）无法获得且无补偿措施——相关 AI 应用暂缓上生产，回到范围/规划阶段重定风险接受策略。

出处

• 机构：OWASP 基金会 · OWASP GenAI 安全项目（集体作品，未署个人作者）
• 日期：2026 年 6 月 28 日（资源页显示）
• 原文标题：Solutions Landscape – Red Teaming Taxonomy（Gen AI & Agentic Red Teaming Solutions Guide Taxonomy）
• URL：https://genai.owasp.org/resource/solutions-landscape-red-teaming-taxonomy
• 许可：依据 OWASP GenAI 站点级声明（"Unless otherwise specified, all content on the site is Creative Commons Attribution-ShareAlike v4.0"）采用 CC BY-SA 4.0；本文档 PDF 内未单独标注许可，故援引站点通用许可，允许全文翻译与再发布，本译文以相同许可分发
• 配套文档：本分类法是《AI 与代理红队解决方案指南》的基础，配套《红队解决方案能力矩阵》与速查表使用

PRIMARY_SOURCE: https://genai.owasp.org/resource/solutions-landscape-red-teaming-taxonomy