AI-Infra-Guard：腾讯朱雀实验室的 AI 红队平台——MCP 扫描、Skill 审计、2000+ CVE 规则一体化
tencent-ai-infra-guard-red-team-platform-mcp-skill-vulnerability-scan
by Mycelium Protocol
GitHub：Tencent/AI-Infra-Guard
团队：腾讯朱雀实验室（Tencent Zhuque Lab）
最新版本：v4.5.2（2026-08-17）
许可证：Apache 2.0
展出：Black Hat EU 2025 Arsenal
AI Agent 和 MCP 生态快速扩张之后，一个问题变得越来越紧迫：谁来检查这些系统的安全性？
一个被恶意 Skill 污染的 Agent 工作流、一个存在工具中毒漏洞的 MCP Server、一个跑着带 CVE 的旧版 vLLM 的推理节点——这些风险没有一个统一的检测工具，直到腾讯朱雀实验室把 AI-Infra-Guard 推出来。
一、五大核心能力
1. AI 基础设施漏洞扫描（AI Infra Scan）
扫描对象：生产环境中运行的 AI 框架服务实例（vLLM、Ollama、ComfyUI、n8n、Triton Inference Server 等）。
工作方式：A.I.G 连接到目标 IP/URL，自动识别框架版本，比对内置漏洞规则库，输出匹配的 CVE、严重程度和修复建议。
规则库规模：覆盖 100+ AI 框架组件，2000+ 已知 CVE（截至 v4.5.2）。
用法举例：
# 扫描本地运行的 vLLM 实例
# 在 A.I.G Web 界面：AI Infra Scan → 输入 http://127.0.0.1:8000 → Start Scan支持 CIDR 段扫描（192.168.1.0/24）和 IP 范围扫描（10.0.0.1-10.0.0.20），适合内网批量检查。
2. MCP Server & Agent Skills 扫描
这是 v4.x 系列最有特色的新能力之一。MCP（Model Context Protocol）生态的快速扩张带来了新的攻击面：
- 工具中毒：MCP Server 返回恶意内容污染 Agent 的上下文
- 凭证窃取：通过 MCP 工具读取系统环境变量、密钥文件
- 命令注入：工具参数未经消毒，拼接成 shell 命令
A.I.G 的 MCP 扫描覆盖 14 大类安全风险，支持从 GitHub URL 或本地源码直接扫描，不需要运行实例。
v4.5.2 新增：动态模式下的工具白名单机制——防止 MCP Server 在动态注册工具时插入未授权的远程代码执行路径。
3. Agent Skill 审计（aig-skill-scan）
独立的 CLI 工具，可集成到 CI/CD 流水线：
pip install aig-skill-scan
export LLM_API_KEY="your-api-key"
aig-skill-scan --repo /path/to/your/skill \
-m deepseek-v4-flash \
--language en \
-o result.json风险分类遵循 SkillTrustBench T01-T09 分类法：
| 层级 | 风险类别 |
|---|---|
| A · 指令与记忆 | T01 Skill 指令劫持、T02 记忆投毒 |
| B · 代码执行 | T03 远程载荷下载执行、T04 嵌入恶意代码 |
| C · 系统权限 | T05 权限提升 & 未授权访问、T06 系统持久化 |
| D · 工具链 & 依赖 | T07 工具劫持 & 伪冒、T08 不安全依赖 |
| E · 代码质量 | T09 不安全编码实践 |
SkillTrustBench 排行榜（2026-08 数据）：
| 排名 | 模型 | F1 | Precision | Recall | FPR |
|---|---|---|---|---|---|
| 1 | Claude Opus 4.6 | 0.9848 | 0.9725 | 0.9974 | 0.0663 |
| 2 | GLM 5.1 | 0.9836 | 0.9701 | 0.9974 | 0.0723 |
| 3 | Gemini 3.5 Flash | 0.9792 | 0.9947 | 0.9641 | 0.0120 |
| 4 | Kimi 2.6 | 0.9780 | 0.9895 | 0.9667 | 0.0241 |
| 5 | DeepSeek v4 Flash | 0.9740 | 0.9868 | 0.9615 | 0.0301 |
v4.5.2 新增：.pyc 字节码绕过检测（攻击者把恶意逻辑编译进 Python 字节码，绕过源码审计）和字符集走私防御。
4. 越狱评估（Jailbreak Evaluation）
对目标 LLM 的 API 端点执行系统化越狱测试：
配置模型 API（Settings → Model Config），选择数据集，开始评估。支持多种攻击方法：
- v4.5.1 新增：Many-Shot、PAIR、GOAT、ActorAttack 四种多轮越狱攻击
- 提供详细的跨模型对比能力
这对需要验证自己部署的模型能否抵抗常见越狱手法的企业团队特别有用——特别是微调后的模型，fine-tuning 可能无意间削弱了基础模型的安全对齐。
5. ClawScan（OpenClaw 安全扫描）
一键评估 OpenClaw 平台安全风险：不安全配置、Skill 风险、CVE 漏洞、隐私泄露。已在 ClawHub 上发布可直接调用的 Agent Skill：
clawhub install aig-scanner
# 配置 AIG_BASE_URL 指向你的 A.I.G 实例6. 模型和 API 中继检查器（新功能）
这是一个比较少见的能力：检测你调用的模型 API 背后是否是声称的那个模型，还是某个中继/代理层。
功能包括：
- 模型指纹识别
- Claude 签名验证（验证响应是否来自真正的 Anthropic Claude）
- 中继黑盒审计
- PAMELA、Ventor QTest
对于企业合规场景（「我们的合同要求使用 Claude，但供应商是否真的在用 Claude？」）这是一个实际需要。
二、部署：Docker Compose 一键启动
git clone https://github.com/Tencent/AI-Infra-Guard.git
cd AI-Infra-Guard
docker-compose -f docker-compose.images.yml up -d
# 访问 http://localhost:8088系统要求：Docker 20.10+、4GB+ RAM、10GB+ 磁盘。
或者一行脚本安装（自动处理 Docker 依赖）：
curl https://raw.githubusercontent.com/Tencent/AI-Infra-Guard/refs/heads/main/docker.sh | bash注意：官方明确说明，A.I.G 定位为企业或个人内部使用的 AI 红队平台，目前缺乏认证机制，不应暴露在公网。
三、团队背景：腾讯朱雀实验室
朱雀实验室（Zhuque Lab）是腾讯安全平台部的顶级安全研究实验室，成立于 2019 年，专注于现实攻防研究和 AI 安全前沿技术：大模型安全、AI Agent 安全、AI 赋能安全、AIGC 检测。
实验室帮助 NVIDIA、Google、Microsoft 等主要厂商以及 OpenClaw、Linux、Hugging Face 等开源社区修复了大量高危漏洞，并获得公开致谢。
研究成果发表在 Black Hat、DEF CON、ICLR、CVPR、NeurIPS、ACL 等顶级会议上，并出版了《AI 安全：技术与实践》。
AI-Infra-Guard 在 Black Hat EU 2025 Arsenal 展出——这是安全社区对该工具实用性的一次独立背书。
四、v4.5.x 的演进轨迹
v4.5.2（2026-08-17）：
- Skill-Scan：
.pyc字节码绕过检测 + 字符集走私防御 - MCP-Scan：动态模式工具白名单防止 RCE
- SkillJack 研究项目（新）
- 漏洞库扩展至 2000+ CVE 规则
v4.5.1（2026-07-30）：
- 越狱评估：四种多轮越狱攻击（Many-Shot / PAIR / GOAT / ActorAttack）
- Agent-Scan：5 个新 OWASP Skill + Web 数据外泄检测（总计 10 个 Skill）
- MCP-Scan：4 个新安全规则
v4.5.0（2026-07-27）：
- AI 安全 Skill 市场上线（3 个官方 Skill）
- 前端全面开源
- Skill 扫描引擎升级（9 大风险类别，SkillTrustBench 最高分 0.9848）
- 漏洞库扩展至 130 个组件、1888 条规则
五、实际使用场景
场景一：MCP 生态安全审计
你要上线一批第三方 MCP Server。在接入前，用 A.I.G 的 MCP 扫描功能直接扫 GitHub URL，几分钟内得到 14 大类风险的检测报告。比手工审查代码快，比什么都不审查安全。
场景二：CI/CD 集成 Skill 审计
团队在构建 Agent Skill 产品。在 CI 流水线里加 aig-skill-scan，每次 PR 触发扫描，T01-T09 风险自动报告。上线前有一道可量化的安全门控。
场景三：AI 基础设施安全巡检
内网有一批 vLLM、Ollama、ComfyUI 实例。用 CIDR 扫描模式批量检查，找出跑着已知 CVE 版本的节点。不需要手工记录每个实例的版本号。
场景四：模型供应链验证
采购方要验证 AI 服务供应商是否真的在用声称的模型。API 中继检查器可以做黑盒审计，包括 Claude 签名验证。
六、值得关注的细节
SkillJack（v4.5.2 新增研究项目）：名字暗示针对 Agent Skill 的劫持攻击研究，具体细节尚未在 README 里展开，值得关注后续发布。
SkillTrustBench 独立排行榜：这是一个基于 T01-T09 分类法、对各 LLM 做 Skill 安全评估能力打分的排行榜，比简单的 jailbreak 通过率更有针对性。Claude Opus 4.6 在 F1 上领先，但 Gemini 3.5 Flash 在 FPR（假阳性率）上只有 0.0120，远低于其他模型。不同业务场景对这两个指标的权重不同。
无认证机制：这个限制目前是硬约束，必须放在内网或有网络隔离的环境里运行。
Mycelium Protocol — 追踪 AI 系统的底层演化
关于 Mycelium
菌丝协议。持续追踪 AI 工具、系统和实验的内容节点。
AI-Infra-Guard: Tencent Zhuque Lab’s AI Red Teaming Platform — MCP Scanning, Skill Audit, 2000+ CVE Rules in One System
by Mycelium Protocol
GitHub: Tencent/AI-Infra-Guard
Team: Tencent Zhuque Lab
Latest: v4.5.2 (2026-08-17)
License: Apache 2.0
Featured: Black Hat EU 2025 Arsenal
As AI agents and MCP ecosystems expand rapidly, a question becomes increasingly urgent: who checks the security of these systems?
A workflow poisoned by a malicious Skill, an MCP Server with tool-injection vulnerabilities, an inference node running a CVE-affected vLLM version — none of these had a unified detection tool until Tencent Zhuque Lab released AI-Infra-Guard.
Five Core Capabilities
1. AI Infrastructure Vulnerability Scan
Point it at a running AI service (vLLM, Ollama, ComfyUI, n8n, Triton, etc.) by URL or IP. A.I.G fingerprints the service, matches against its CVE database, and reports vulnerabilities with severity and remediation links. Coverage: 100+ AI framework components, 2000+ CVEs. Supports CIDR range scanning for bulk internal network audits.
2. MCP Server & Agent Skills Scan
14 major risk categories covering MCP-specific attack patterns: tool poisoning, credential exfiltration, command injection. Scan from GitHub URL or local source archive — no running instance required. v4.5.2 adds tool whitelisting in dynamic mode to prevent RCE through unauthorized tool registration.
3. Agent Skill Audit (aig-skill-scan)
pip install aig-skill-scan
aig-skill-scan --repo /path/to/skill -m deepseek-v4-flash -o result.json9-category SkillTrustBench taxonomy (T01-T09): instruction hijacking, memory poisoning, remote payload execution, embedded malicious code, privilege escalation, system persistence, tool spoofing, insecure dependencies, and insecure coding practices. CI/CD integration with JSON output. v4.5.2 adds .pyc bytecode bypass detection and charset smuggling defense.
SkillTrustBench Leaderboard (current):
| Rank | Model | F1 | FPR |
|---|---|---|---|
| 1 | Claude Opus 4.6 | 0.9848 | 0.0663 |
| 2 | GLM 5.1 | 0.9836 | 0.0723 |
| 3 | Gemini 3.5 Flash | 0.9792 | 0.0120 |
| 4 | Kimi 2.6 | 0.9780 | 0.0241 |
| 5 | DeepSeek v4 Flash | 0.9740 | 0.0301 |
Claude Opus 4.6 leads on F1 (0.9848); Gemini 3.5 Flash has by far the lowest false positive rate (0.0120) — relevant when running automated scans where false positives create friction.
4. Jailbreak Evaluation
Configure a target LLM’s API endpoint and run systematic jailbreak tests. v4.5.1 adds four multi-turn attack methods: Many-Shot, PAIR, GOAT, ActorAttack. Cross-model comparison reports. Especially useful for validating fine-tuned models that may have inadvertently degraded safety alignment.
5. ClawScan + Model/API Relay Checker
One-click OpenClaw platform security assessment. The relay checker is rarer: model fingerprinting, Claude Signature verification (validates that responses actually come from Anthropic’s Claude, not a relay layer), and relay black-box auditing — relevant for enterprise procurement compliance (“our contract requires Claude; is the vendor actually using Claude?”).
Deployment
git clone https://github.com/Tencent/AI-Infra-Guard.git
cd AI-Infra-Guard
docker-compose -f docker-compose.images.yml up -d
# → http://localhost:8088Requirements: Docker 20.10+, 4 GB RAM, 10 GB disk. One-script install also available. Important: no authentication mechanism currently — deploy in internal networks only.
Team: Tencent Zhuque Lab
Zhuque Lab is Tencent Security Platform Department’s top-tier security research lab, founded 2019. Has helped NVIDIA, Google, Microsoft, OpenClaw, Linux, and Hugging Face fix high-severity vulnerabilities. Published at Black Hat, DEF CON, ICLR, CVPR, NeurIPS, ACL. AI-Infra-Guard showed at Black Hat EU 2025 Arsenal — an independent community endorsement of the tool’s practical value.
Things to Watch
SkillJack (new in v4.5.2): A research project on Skill-hijacking attacks. Not yet detailed in the README; worth watching for a dedicated writeup.
The FPR gap: At scale, a 5× difference in false positive rate (Claude 0.0663 vs Gemini 3.5 Flash 0.0120) matters significantly when scans trigger CI/CD gates. High FPR means security friction; low FPR at the cost of recall means missed real threats. Neither extreme is universally right.
No auth mechanism: Hard constraint for now. Must run behind a firewall or network isolation.
Mycelium Protocol — tracking the deep evolution of AI systems
© 2026 Mycelium Protocol. All rights reserved.
关于本站 · 免责声明
🍄 Mushroom Research Blog 是非营利、免费公开的个人科技观察博客与公众号 XStack18，不接受商业合作、不代表任何企业或机构立场，也不谋求商业利益。我们以个人视角客观中立地记录和分析 AI、Web3 等领域的最新模型发布与技术动态——不止转述新闻标题或二手信息，而是给出有独立思考的深入分析，希望帮更多人获得有价值的一手科技认知。
⚠️ 文中介绍的开源代码与模型，仅供学习交流与技术借鉴。它们大多仍处于早期阶段，有待进一步研究和验证，请勿直接用于工作或生产环境；如需采用，请先自行充分测试，并核实其许可证与安全性。
Open-source code and models featured here are shared for learning and reference only. Most are early-stage and still need further study and verification — please don't use them directly in your work or in production. Test them thoroughly and check their licenses and security first.
- 本站文章均为作者基于公开信息的个人研究与观点整理，不代表文中提及的任何公司、产品、模型的官方立场，未与其构成商业关联或合作关系。
- 科技行业信息更新极快，我们尽力保证内容准确、及时，但不对完整性、实时性做绝对保证，具体请以相关企业/项目官方公告为准。
- 文中引用的第三方商标、产品名称、图片、数据等版权归原权利人所有，我们会尽量注明来源；如你认为存在版权疑问或侵权，请通过下方邮箱联系我们，收到通知后会尽快核实处理（更正、加注来源或删除）。
- 文章内容仅为技术科普与个人观点，不构成投资、法律或其他专业建议，据此进行任何决策的后果需自行判断和承担。
📮 侵权 / 勘误 / 合作咨询：hello@mushroom.cv
💬 评论与讨论
使用 GitHub 账号登录后发表评论