AI安全漏洞严重度评分体系

可视化演示

展示AI安全漏洞多维度评分雷达图、与传统CVSS体系差异对比与分级响应SLA时限，切换模式观察评分到响应全流程。

为什么要建分诊台：评分体系概述

分诊护士小陈的第一课，是“永远先救最危重的病人”。这句话的背后是残酷的资源约束：人手有限、抢救室有限、医生精力有限。AI 安全团队也一样——一次红队评测可能产出几十条漏洞报告，而修复工程师满打满算一周也只能处理几条。如果按发现顺序平均用力，真正决定生死的缺陷一定会被淹没在琐碎问题里。

严重度评分体系，就是把“凭感觉排序”变成“用统一标准排序”的制度。它给每个漏洞算出一个 0~10 的分数，再映射到致命、高危、中危、低危四个等级，让测试、开发、运维、管理层都用同一种语言讨论风险。一个可用的体系包含三块：统一的打分维度、明确的等级阈值、与等级绑定的处置规则，三者缺一不可。

为什么分级这么重要？可以用一个极简模型说明：一组漏洞造成的总损失，往往由最严重的那一个主导，其余漏洞合起来只是噪声。

这就像分诊护士的判断——抢救室里那位胸痛病人决定了整晚的医疗结局，门口那些擦伤和低烧排到天亮也不至于恶化。评分体系的意义，正是让团队在资源有限时，把力气花在决定成败的“最大项”上。

四色腕带：严重度等级定义

分诊台会给每位病人系上不同颜色的腕带：红色代表立即抢救，黄色需要快速处置，绿色可以候诊，蓝色只需简单处理。颜色不靠护士心情，而靠统一的生命体征标准。AI 安全等级定义同样追求“对事不对人”——测试员小赵和小钱拿到同一个漏洞，按同一套标准，必须得出同一个等级。

四级划分是评分体系的骨架。致命级：评分 ≥ 8.0，典型情形如可完全绕过安全护栏直接操控模型行为、批量窃取训练数据或对话数据；高危级：6.0~7.9，典型如可越权访问其他租户的推理结果、大面积触发有害内容但不影响数据完整性；中危级：4.0~5.9，有限信息泄露或特定条件下才可利用；低危级：< 4.0，仅影响体验或需要极端苛刻前提。每个等级既要有分数区间，也要有典型情形示例，防止纯数字带来的误判。这个四级离散映射可以写成：

四色腕带让抢救室和候诊区的划分有了客观依据。同理，四级评分把“致命级漏洞优先修、低危级漏洞排队修”从一句口号变成可执行的制度，而不是靠某个人的主观裁量。

量一量伤有多重：影响范围评估

病人进了分诊台，护士要先问“伤在哪、要花多大代价？”评估漏洞严重度的第一个维度就是影响范围——漏洞一旦被利用，会捅多大的娄子。AI 系统的影响范围通常拆成三个子项：数据资产影响、业务功能影响、系统可用性影响。

数据资产影响看泄漏数据的敏感度与规模：训练数据是否含个人隐私？用户对话能否被批量导出？业务功能影响看核心能力是否被破坏：推荐、审核、对话功能是否失灵或可被操纵；可用性影响看服务是否宕机、推理是否显著劣化。三个子项分别打分后，再按业务特点加权汇总。

为什么数据资产权重最高？因为对大多数 AI 产品来说，数据就是最核心的资产——模型靠它训练，产品靠它服务用户，泄露一批训练数据可能比服务宕机几个小时更致命。通用的加权公式如下：

就像护士记录“失血量多少、伤在哪个部位”来决定送哪科，影响范围打分回答了“漏洞到底伤在 AI 系统的哪块要害、伤得有多深”，是判断等级上限的第一步。

摸一摸脉搏：可利用性评估

一个伤势再重的病人，如果被锁在三十层楼顶的密室里没人能靠近，急诊室也不会立刻倾巢出动。评估严重度，必须再问一句：“攻击者到底够不够得着？”这就是可利用性评估 E，衡量一个漏洞被真实攻击利用的难易程度。

可利用性由四个子项决定：攻击前提条件（是否需要内网权限、是否需要特定账号）、攻击复杂度（是否需要专门工具或高级技巧）、用户交互要求（是否需要诱导受害者点击或输入）、已知利用情报（网上是否已有公开利用代码或现成攻击模板）。前提越少、复杂度越低、交互越少、情报越热，E 就越高。

把四个子项压缩成三个 0~1 的系数可以简化计算：c 为攻击复杂度、u 为是否要求受害者交互、p 为前置条件苛刻程度。三项越容易满足，E 越接近满分：

分诊护士不会因为病人叫得响就优先——她看的是能不能快速止血、是否有人能实施救助。可利用性评分把“理论上严重”和“实际会被打的”区分开，避免高影响漏洞长期霸占修复队列而真正容易被攻击的中危漏洞被冷落。

换一张处方：与传统 CVSS 的区别

内科医生若拿胃炎处方去治骨折病人，必然误事。传统软件漏洞领域的 CVSS（通用漏洞评分系统）直接拿到 AI 安全场景套用，就像用内科思维做外科分诊——不是不能用，而是误诊风险极高。

CVSS 用攻击向量、攻击复杂度、机密性/完整性/可用性影响等指标打分，在传统 Web 和系统中非常成熟。但 AI 系统的漏洞形态完全不同：提示词注入、越狱、训练数据投毒、模型窃取、对抗样本攻击，这些在 CVSS 的指标字典里一个都找不到。比如“越狱提示词”不涉及网络端口，不涉及内存破坏，用 CVSS 打分只能得到很低的分数，但它实际可以完全废掉模型的安全护栏。

所以 AI 安全严重度评分 = CVSS 可复用部分 + AI 特有增量。增量至少要覆盖四块：护栏绕过、数据污染、模型窃取、内容滥用。用公式表达：

骨折病人需要骨科医生会诊，AI 漏洞也需要“AI 专科量表”。CVSS 可以作为跨行业的公共语言，但最终等级必须由懂模型、懂数据、懂算法的团队按 AI 特有因子重新裁决。

急救路线图：分级响应机制

分了级还不够，急诊室还要规定：红色腕带两分钟内必须有人接，抢救室床位多久腾出，主治医生什么时候到场——这些时效承诺就是分诊的 SLA。分级响应机制把等级翻译成动作，让每个漏洞都知道“自己该走哪条通道”。

每一级绑定三类时效：首次响应时限（安全团队开始介入调查）、临时缓解时限（止血措施生效，如先给模型加一层输入过滤）、修复闭环时限（漏洞彻底关闭）。同时定义升级上报路径：致命级从一线工程师直达安全负责人，甚至触发管理层会议；低危级则进入常规迭代队列。常见 SLA 参考值如下，具体数值按企业风险承受力调整：

就像胸痛病人的绿色通道有固定的抢救时间表，评分体系给每个级别画好了路线图——先止血、再转科、最后出病历，人人都知道下一步是谁、在什么时间点做什么事。修复优先级排序也由此而生：致命级先缓解止血，高危级紧跟其后，中低危按排期消化。

病历要归档：合规与审计对接

急诊室不能光救人，每份病历都要写清楚：谁接诊、诊断依据是什么、用了什么药、转归如何，否则医疗纠纷和卫生检查没法交代。AI 安全严重度评分的每一条记录，同样是必须归档的“病历”。

生成式人工智能服务的监管要求（如《生成式人工智能服务管理暂行办法》）以及等级保护 2.0 对 AI 系统的安全评估要求，普遍需要企业留存安全测试与风险处置记录。评分体系恰好提供了结构化的病历：漏洞描述、复现步骤、评分依据、等级结论、处置动作与闭环时间。对接审计的关键是“评分可追溯”——每一条评级记录都必须有证据链，否则审计人员无法核验。

合规判定的数学表达很简单：所有已登记的漏洞都要有非空的证据记录。用符号表示：

急诊室的病历让医院经得起检查，也帮医生复盘改进。评分体系的证据留存既让 AI 安全团队经得起监管审计，又让“哪个环节容易漏诊”有据可查，驱动评分策略在每次迭代中持续优化。

AI 应用场景

Python 演示

#!/usr/bin/env python3# -*- coding: utf-8 -*-"""AI安全漏洞严重度评分器: 影响范围、可利用性、环境因子加权定级, 并输出SLA响应时限"""  class SeverityScorer:    """加权打分 -> 四级定级 -> SLA 映射"""     def __init__(self):        # 权重: 影响范围 0.5, 可利用性 0.3, 环境因子 0.2        self._weights = (0.5, 0.3, 0.2)        self._thresholds = (8.0, 6.0, 4.0)        self._bands = ("致命", "高危", "中危")        self._sla_map = {"致命": "2小时", "高危": "8小时", "中危": "24小时", "低危": "72小时"}     def calc(self, impact, exploit, env=0.0):        if not all(0 <= v <= 10 for v in (impact, exploit, env)):            raise ValueError("各维度分值必须在 0~10 之间")        score = sum(w * v for w, v in zip(self._weights, (impact, exploit, env)))        band = "低危"        for t, b in zip(self._thresholds, self._bands):            if score >= t:                band = b                break        return round(score, 2), band, self._sla_map[band]  def main():    scorer = SeverityScorer()    vulns = [        ("越狱提示词绕过护栏", 9.5, 8.0, 8.0),        ("训练数据投毒后门", 8.5, 3.5, 6.0),        ("推理接口资源耗尽", 6.0, 7.0, 5.0),        ("日志泄漏对话摘要", 4.0, 6.0, 3.0),    ]    for name, impact, exploit, env in vulns:        score, band, sla = scorer.calc(impact, exploit, env)        print("{:<14s} 评分={:>5} 等级={} SLA={}".format(name, score, band, sla))  if __name__ == "__main__":    main()

1. self._weights = (0.5, 0.3, 0.2)把影响范围、可利用性、环境因子的权重定义成不可变的元组，保证打分口径统一。
2. score = sum(w * v for w, v in zip(self._weights, (impact, exploit, env)))用 zip 把权重和三个得分一一配对，加权求和得到最终评分。
3. for t, b in zip(self._thresholds, self._bands):从 8.0 开始逐级向下比对阈值，与“更高等级优先命中”的分诊逻辑一致。
4. if score >= t:命中高阈值立即定级并跳出循环，保证致命级优先于高危级判定。
5. if not all(0 <= v <= 10 for v in (impact, exploit, env)):入口校验，三个维度得分必须落在 0~10，防止脏数据污染评分。
6. return round(score, 2), band, self._sla_map[band]一次性返回分数、等级和 SLA 时限，供下游流程直接消费。

常见误区

面试题