AI 红队测试：从 0 到 1 搭建可回归的评测集

一句话结论： AI 红队测试的核心资产不是攻击技巧，而是可回归的评测集。一次性的手工渗透只能证明"那天它被绕过了"，评测集才能证明"这次改动有没有让防线退步"。本文给出从 0 到 1 搭建评测集的最小路径：定范围 → 攒用例 → 建指标 → 进 CI。

为什么是评测集，不是渗透报告

模型应用的防护是概率性的：任何一次红队测试都只是对概率的一次抽样。要回答"我们的注入防护还有效吗"，唯一可靠的载体是固定用例 + 固定指标 + 自动回归——这和传统安全里的回归测试（每次发版跑一遍 PoC 集）是同一件事。微软的 PyRIT、各家厂商的自动化红队框架，本质都是在把这件事工程化。

评测集要回答三个问题：

1. 攻击成功率（ASR）：N 个攻击用例里多少个绕过了防线？
2. 过度拒绝率（Over-refusal）：多少正常请求被误拦？（护栏调严的代价，不测它就会把产品调废）
3. 回归趋势：模型升级、提示词改动、护栏版本更替后，两个数字怎么变？

第一步：定威胁模型（最容易跳过、最不该跳过）

评测集不是攻击花样的收藏夹。先回答：这个系统谁会攻击、攻击什么、成功了损失什么。