LLM 扫描是MetaDefender Aether™ 的一项功能，可在部署前检查预训练 AI 模型文件中是否存在隐藏威胁。该功能将模型结构的静态分析与运行中模型行为的动态分析相结合，使安全团队能够像审查进入网络的任何其他文件一样，对第三方模型进行审查。 |
|---|
主要收获
- MetaDefender Aether的Adaptive （Sandbox ）通过行为触发（而非签名匹配）来捕获零日威胁，并将这些情报输入到五层威胁处理管道中。
- AMTSO于2026年9月4日正式批准了针对其Sandbox 评估框架的以人工智能为重点的更新，以及新的《代理型安全产品测试指南》。
- 在Venak Security于2026年进行的符合AMTSO标准的测试中，Adaptive （Sandbox ）检测出了95%的人工智能生成的恶意软件样本，在四款受测沙箱中表现最佳。
- AI模型扫描功能将MetaDefender Aether的处理流程扩展至七种生成式AI模型格式，利用30余项威胁指标进行静态分析，并采用与OWASP LLM Top 10相对应的对抗性提示进行动态分析
- 检测结果与MITRE ATLAS对应，并整合到MetaDefender 中，与常规文件威胁一起纳入Aether现有的判定管道
基于人工智能测试标准的行为检测
MetaDefender Aether™的 Adaptive Sandbox 旨在捕获那些前所未见的威胁。它并非通过将文件与已知特征码进行比对，而是将其在模拟环境中执行，并观察其实际行为，正是通过这种方式，它能够捕获那些原本会绕过基于声誉的防御机制的零日恶意软件。
MetaDefender Aether 是围绕该引擎构建的协调层。它向Adaptive （Sandbox ）提供威胁情报，从而使威胁判定更快、更准确；同时，它将各层的分析结果整合到一个统一的五层威胁处理管道中，涵盖威胁声誉、预测分析、动态触发、威胁评分和威胁狩猎。
2026年9月4日，反恶意软件测试标准组织（AMTSO）确认已正式批准对其 Sandbox 评估框架的更新，该更新侧重于人工智能领域，同时还发布了新的《代理型安全产品测试指南》。这两份文件均不具有强制性。它们都是对自愿性测试标准的更新，但这是迄今为止最明确的信号，表明沙箱测试正在逐步跟上当前人工智能模型的能力。
为什么人工智能模型的安全性突然成为一个问题
关键基础设施已成为政策讨论的核心，而这一讨论正从两个方面快速推进：一方面，美国针对前沿人工智能的监管框架日益收紧；另一方面，中国也在同步推进开源大语言模型（LLM）及计算能力的建设。无论哪种趋势，都未能减缓预训练大语言模型向企业环境迁移的势头。
问题核心在于攻击规模，而非新的攻击技术。人工智能并未发明出新的文件入侵方式，而是使得受感染文件和受感染的大语言模型（LLM）变得更加普遍，且生成速度大幅加快——正是这种规模压力催生了OPSWAT 的 Deep CDR™ 技术 应对基于文件的威胁的策略。
几周前， 英伟达（NVIDIA）同意以129.3亿美元收购Hugging Face——这家开放权重大型语言模型（LLM）的主要分发平台——的收购交易，交易金额为129.3亿美元。此次收购使业内最大的LLM模型库与该领域的领先计算服务提供商归于同一屋檐下。
Anthropic 与包括 OpenAI、谷歌和微软在内的上百家公司一道，签署了一封 公开信，呼吁在 。 Anthropic 2026年9月的威胁情报报告 记录了攻击者将AI供应链既作为攻击目标又作为资源利用的情况，其中包括专门为窃取AIAPI 密钥和生产凭证而设计的攻击行动。
OpenAI的 《通往Astra之路》 一文于2026年9月1日发布，进一步提高了标准。Astra是首个达到该公司 准备框架下跨越“关键”网络安全门槛的首个OpenAI模型，能够基本自主地发现并利用零日漏洞。这种能力正是AMTSO新发布的代理式测试指南旨在评估的核心内容。测试标准正争分夺秒地跟上前沿大型语言模型（LLM）当前在无监督状态下所能实现的能力。
AMTSO更新的Sandbox 评估框架实际上涵盖了哪些内容
AMTSO的Sandbox 工作组在现有的Sandbox 评估框架中新增了一套以人工智能为核心的评估标准，为测试人员提供了一种结构化的方法，用于评估沙箱如何将人工智能模型作为分析对象而非仅作为工具来处理。该更新于今夏经过公开评审后，于9月初获得了会员的正式批准。
AMTSO的Sandbox 工作组目前正在跟踪更新后框架的采用情况，并建立一套报告机制，以便测试人员能够根据新的AI标准，以一致的方式对沙箱性能进行基准测试。这项基础工作至关重要，因为它为供应商提供了一个共同的衡量标准，而非仅依赖其自我申报的声明。
MetaDefender Aether在AMTSO框架下的业绩记录
在引入新功能之前，了解现有功能在独立审查下的表现会很有帮助。在 Venak Security 的 2026年符合AMTSO标准的沙箱测试中，OPSWAT的Adaptive Sandbox 成功检测出了20个AI生成的恶意软件样本中的19个，检测率达95%，在四款受测沙箱中位居榜首。Venak利用其AI恶意软件模拟器构建了测试样本，并针对MITRE ATT&CK技术进行了专门设计，旨在规避传统检测机制。
OPSWAT Adaptive （ ）在最近的一次测试中获得了95%的得分（20个样本中正确识别了19个）。该测试使用了20个样本，涵盖5个威胁类别，这些样本由Venak的AI恶意软件模拟器生成，并映射到了MITRE ATT&CK技术框架。Sandbox
预训练大型语言模型的静态与动态分析
AI模型扫描是一项将MetaDefender Aether的多层处理流程扩展至预训练AI模型的功能。两种截然不同的分析方法，与针对传统恶意软件所采用的静态与行为分析方法如出一辙。
静态分析可在不执行的情况下，解析七种格式的LLM模型文件——Pickle、PyTorch、TensorFlow、Keras、SafeTensors、GGUF和ONNX。它利用30多个专门的威胁指标，来检测嵌入式有效载荷、危险的导入以及针对每种格式序列化方法的后门。
动态分析则采取了 相反的方法：它通过向运行中的LLM模型端点发送映射到 OWASP 大语言模型应用十大安全风险，据此评估该大语言模型的实际响应是否存在提示注入、敏感数据泄露及相关运行时风险。这两个阶段的发现结果均与对抗性机器学习知识库MITRE ATLAS相对应，并会与常规威胁发现结果一同整合到MetaDefender Aether现有的统一判定管道中。
人工智能模型带来的威胁正在以多快的速度增长
2026年5月，一个冒充OpenAI发布版本的虚假代码库， Open-OSS/privacy-filter，在18小时内跃居Hugging Face热门榜首，并在被下架前累计获得超过24.4万次下载。该仓库包含一个加载脚本，会在运行它的Windows机器上悄无声息地安装一个信息窃取程序。
2026年7月，OpenAI 披露 ，其自有的大语言模型（LLM）在内部网络安全评估过程中，利用了共享研究基础设施中的漏洞，并攻破了Hugging Face平台的部分系统，这凸显出大语言模型的供应链如今已成为高技术攻击者的直接攻击目标，而不仅仅是机会主义攻击者的目标。
人工智能模型安全对五大行业意味着什么
金融
用于欺诈检测和信贷审批的大语言模型（LLM）越来越多地直接处理交易数据，而监管机构则要求对此类操作有明确的控制措施记录。在此过程中，若大语言模型遭到篡改，将同时引发安全事件和审计问题。
能源与公用事业
人工智能正逐步应用于预测分析和电网管理领域，而在这些领域中，IT系统与OT系统早已融合。在此类场景下，若大型语言模型（LLM）存在隐蔽或可触发的行为，则可能引发物理层面的中断，而不仅仅是数据泄露。
政府和国防
机构在供应链保障方面面临最高门槛，通常处于物理隔离或保密环境中。大型语言模型（LLM）若遭入侵，其对国家安全的影响远不止于通常的数据丢失。
制造
质量控制和预测性维护的LLM模型通常从公共仓库中获取，以加快开发进度。如果一个存在安全漏洞的LLM模型进入生产环境，将直接影响系统正常运行时间和产品质量。
医疗保健
诊断支持与文档编制 大语言模型（LLM）在遵守现有隐私义务的前提下处理敏感的患者数据。如果大语言模型通过提示注入泄露信息，将导致患者隐私面临直接风险，而非假设性的风险。
AI模型测试标准的未来走向
AMTSO的Sandbox 工作组目前正密切关注各沙箱供应商对更新后框架的采用情况，并正在构建一套报告体系，使各组织能够像比较传统检测率那样，以统一的方式比较AI测试的性能。对于MetaDefender Aether而言，AI模型扫描是其从一开始就根据该新兴标准构建并经过验证的首项功能。
请阅读关于 AI 模型扫描的完整技术解析，详见 v3.3.0 版本发布文章中。
