2026年11月12日，安远AI发布前沿AI风险监测平台第五期季度报告：《前沿AI风险监测报告（2026Q3）》。本期报告覆盖14家领先AI公司在2025Q4到2026Q3发布的48个前沿模型。目前，Qwen 3.8 Max网络攻击风险最高，Kimi K3生物风险最高，Claude Opus 5.5失控风险最高。开源模型在网络攻击、生物风险领域的能力已接近闭源前沿模型，但安全分系统性偏低。高级越狱攻击仍会系统性削弱模型安全防护，头部闭源模型的抗越狱能力强于开源模型。
在网络安全领域，前沿模型的网络CTF、Web渗透任务能力大幅提升，安全防护水平未同步提升，并出现首个越过网络攻击风险黄线的模型。在生物安全领域，生物湿实验排障、序列理解能力大幅超过人类专家水平，生物安全拒答有所改善。在失控风险方面，自我改进与隐蔽行动能力继续增长，诚实性有所改善。
此外，本季度的安全—开放帕累托前沿显示：安全分最高的是Claude Opus 5.5；开放指数最高的是DeepSeek R1 (250528)与GLM 4.5，二者同为52.2。
一、关键发现
跨领域发现
各领域发现
二、评估方法升级
三、测评可靠性分析
四、安全-开放帕累托前沿
五、相关方建议
六、合作机会
1. 各领域风险指数单季度快速增长，出现首个越过网络攻击风险黄线的模型
基于风险指数2.1版（详见下文方法论部分），本季度相比上个季度，网络攻击平均风险指数增长近2倍（20.9→62.3），生物风险增长79%（108.4→193.5），失控领域增长2倍多（7.3→13.3）。
越过风险黄线的模型大幅增加：Qwen 3.8 Max (260902)以113.5的风险指数成为首个越过网络攻击风险黄线的模型；生物领域越过风险黄线的模型已达20个；失控领域尚未有模型越过风险黄线。突破风险黄线意味着模型在已有的安全防护水平下，其剩余风险仍达到高风险边界。
注：突破风险黄线表示模型在实际部署环境中、结合实际安全防护措施后，其剩余风险仍然达到高风险水平，如相比非AI基线显著提升新手制造生物、化学威胁或实施自动化网络攻击的能力，类似OpenAI Prepareness框架的“High”阈值或Anthropic的ASL-3阈值。
2. 模型风险表现：Qwen 3.8 Max网络攻击风险最高，Kimi K3生物风险最高，Claude Opus 5.5失控风险最高
Qwen 3.8 Max (260902)网络攻击风险指数全局最高（113.5），是唯一越过网络攻击风险黄线的模型；生物风险指数440.8，仅次于Kimi K3。
Kimi K3生物风险指数全局最高（454.1），网络攻击风险指数也达89.8。
Claude Opus 5.5在失控领域风险指数全局最高（56.8），但尚未越过风险黄线，其他领域风险相对较低。
GPT 5.6 Sol（123.3）、GPT 6 Astra（113.7）与Gemini 3.8 Flash（116.1）的生物风险指数略越过风险黄线。
Grok 4.7安全分大幅改善，风险指数降至较低水平（网络攻击8.4、生物风险8.2、失控风险3.1）。
3. 开源模型能力在网络攻击、生物风险领域已接近闭源前沿，但安全分系统性偏低
本季度头部开源模型Qwen 3.8 Max (260902)网络攻击能力分78.9，接近闭源头部的Claude Opus 5.5（81.6）；生物能力分62.2，也接近Claude Opus 5.5（67.0）。但在化学风险、有害操纵和失控领域，头部开源模型的能力仍落后于头部闭源模型较大幅度。
但开源模型的安全分明显更低：本季度发布的开源模型网络攻击安全分分布在46-61分之间，而闭源模型分布在70-89分之间；生物风险领域开源模型多在37-63分，闭源模型则分布在70-97分之间。在化学风险和有害操纵领域，开源模型的安全分数也普遍低于闭源模型。仅在失控领域，开源模型的安全分分布与闭源模型较为接近。
4. 高级越狱攻击仍会系统性削弱模型安全防护，头部闭源模型抗越狱能力强于开源模型
加入红队攻击后，本季度13个新模型的平均安全分在网络攻击领域从90.3降至51.7（下降38.7分），在生物风险领域从82.0降至70.0，在化学风险领域从86.5降至55.1，在有害操纵领域从77.0降至43.4；但攻击后的分数较上季度（2026Q2）的模型平均分别提高9.1、15.3、12.0、6.7分，说明本季度模型的抗越狱能力有所提升。
头部闭源模型与开源模型对比：红队攻击下闭源头部的安全分数远高于开源最高分——生物风险Claude Opus 5.5保持97.0分，而开源最高的GLM 5.3仅72.6分；化学风险Claude Opus 5.5为79.7分，开源最高的Qwen 3.8 Max (260902)仅35.0分；网络攻击Grok 4.7为59.0分，开源最高的Qwen 3.8 Max (260902)为40.7分。
5. 前沿模型网络CTF、Web渗透任务能力大幅提升，安全防护水平未同步提升
能力方面，与上季度模型相比，本季度模型的网络攻击能力明显提升：CTF夺旗任务（CyBench）平均分从61.8分升至88.7分（+26.9分），已接近饱和，其中Qwen 3.8 Max (260902)达到99.2分的实测新高；真实Web渗透任务（CVE-Bench）平均分从27.3分持续提升至38.2分（+10.9分）。
安全方面，提升幅度明显落后于能力：网络安全基础拒答（AirBench-SecurityRisks）仅从86.9分升至90.1分（+3.2分），提示词注入防护（PromptInjection）从86.9分升至90.5分（+3.6分），均未与能力提升同步；红队攻击下平均安全分虽从21.8分升至32.8分（+11.0分），但绝对水平仍然很低。
6. 生物湿实验排障、序列理解大幅超过人类专家水平，生物安全拒答改善
能力方面，与上季度模型相比，本季度模型在各项生物能力基准上全面增长：湿实验问题排查（BioLP-Bench）平均分从39.1分升至49.0分，已有37个模型（本季度+13）超过人类专家水平（38.4分）；DNA和蛋白质序列理解（LAB-Bench-SeqQA）从75.7分升至85.0分，已有21个模型（本季度+11）超过人类专家水平（79分）；生物图像理解（LAB-Bench-FigQA）从58.7分升至69.0分，已有9个模型（本季度+6）超过人类专家水平（77分）。
安全方面，Q3模型相对上季度整体有明显改善：生物武器设计制造相关问题拒答（SafeSciBench-Bio）平均分从60.1分升至70.6分（+10.5分），高风险生物问题回答安全程度（BioRiskBench）从65.5分升至83.9分（+18.4分）。
能力方面，失控领域平均能力分从26.1升至34.9，越过能力黄线的模型从2个增至8个。与上季度模型相比，本季度模型在真实终端长程任务（Terminal-Bench 4.0）上平均分从5.1分大幅升至30.6分（+25.6分），代表自我改进能力提升；隐蔽行动能力（GDM-Stealth）从13.6分升至18.8分（+5.2分）；自我复制能力（Self-Proliferation）比上季度略下降（59.5→55.1分），但Claude Opus 5.5创下95.2分的新高。
安全方面，本季度模型明显改善：诚实性（MASK）平均分从63.7分升至80.5分（+16.8分），代理式错误对齐（Agentic-Misalignment）从83.4分升至98.1分（+14.7分）；但抵抗关机（Shutdown-Resistance）平均分从94.2分略降至90.2分（-4.1分）。但需要注意Agentic-Misalignment和Shutdown-Resistance上测评感知率都很高，其结果需谨慎解读。
本期报告采用风险指数2.1版。与2.0版相比，2.1版的主要升级如下：
测评基准更新
失控领域用Terminal-Bench 4.0替换存在质量缺陷的SciCode，并移除已饱和的SAD-mini等基准；生物、化学领域引入SafeSciBench和安远AI自研的BioRiskBench。
测评可靠性分析
本期起平台对全部测评日志做逐样本事后审计，检测“评测感知（Evaluation Awareness）”、“能力测评中的拒答”和“非预期解题路径”3种可能影响结果可靠性的现象；新增数据集污染检测（模型是否见过题目）、分数“置信区间”展示功能；通过这些工作来回答“这些分数有多可信”。
注：由于风险指数2.1在基准列表上有调整，本报告中的各项分数不应与先前版本的报告逐项比较。
安全测评中的评测感知
模型感知到自己正在被测试，可能会影响模型的行为倾向，导致安全分数不准
能力测评中的拒答
对于风险较高的测评题目，模型可能会拒答，会导致能力分数被低估
能力测评中的非预期解题路径
模型使用非预期路径（如利用测评环境的漏洞偷取答案）解题成功，可能导致能力分数被高估
数据集污染
模型在训练时接触过测评基准的题目和答案，测试时直接背答案，导致分数不准
测评过程的随机误差
模型回答的随机性、环境因素的不确定性会产生测评误差，导致分数不准
本期平台首次对全部测评日志做逐样本事后审计，以分析“测评感知、能力测评中的拒答、非预期解题路径”的水平，并使用Time Travel探针检测数据集污染，主要发现如下：
评测感知集中在两个基准
Agentic-Misalignment评测感知为36%–85%、Shutdown-Resistance为3%–91%，这两个基准的高分需要谨慎解读。其余基准多在0%–15%。
闭源模型拒答率较高，相关分数已进行修正
头部闭源模型拒答率4.5%–29.4%，其余模型均在0.00%–0.60%，拒答集中在网络攻击领域的能力测评，相关分数已经进行基于拒答率的修正（只统计未拒答样本的分数）或使用同领域基准的拟合分数代替。
非预期解题路径整体“得手”比例低
尝试非预期解题路径且最终得分的比例仅为0.69%，集中在CyBench、CVE-Bench及部分记忆型基准。
数据集污染整体程度低
299个有效的模型-基准组合中79%的污染分为0，只有19个组合的污染分≥5（满分200）。相关检测方法详见先前的文章 我们常用的评测基准被污染了吗？一次快速排查。
此外，本期平台新增了查看分数“置信区间”的功能，只要在风险分析页或测评详情页点击右上角“CI”按钮即可展示，方便读者判断每个分数的可靠性。
更多具体监测结果，详见文末链接。
上个月，我们发布了《安全-开放帕累托前沿技术报告》，把每个模型放到"开放指数 × 安全分"二维图上：横轴为开放指数（由 Artificial Analysis 开放指数与平台披露调研合成，越高越开放），纵轴为平台安全分（越高越安全），虚线标注帕累托前沿（同开放度仅安全分最高者入选，越右上越优）。本次我们对Q3模型进行开放指数评估，更新了帕累托前沿：
本季度共8个模型入图（其他因披露调研或 AA 匹配数据不全暂不入图），与上季度入图的12个模型相比，本季度入图模型的平均安全分由62.8升至67.8，平均开放指数由25.7升至31.2。
全量入图模型中，安全分最高的是Claude Opus 5.5（88.4分，本季度新模型），其后是GPT-5.5（86.4）与Claude Opus 4.8（86.3）；开放指数最高的是DeepSeek R1 (250528)与GLM 4.5（同为52.2）。
前沿由5个模型构成——Claude Opus 5.5（开放26.1 / 安全88.4）、Claude Opus 4.5 Reasoning（30.4 / 81.5）、Qwen 3.5 397B Reasoning（39.1 / 64.2）、MiMo V2.6 Pro（45.7 / 56.1）、GLM 4.5（52.2 / 44.2）。与上季度前沿相比：Claude Opus 5.5以更高的安全分（88.4 > 86.3）取代同开放度的Claude Opus 4.8成为前沿左端；MiMo V2.6 Pro作为本季度新模型，在安全分（56.1）超过GLM 5（55.3）的同时更开放（45.7 > 43.5），把GLM 5挤出前沿。
建议在新模型发布前开展能力与安全测评；对风险指数较高、尤其是越过风险黄线的模型，优先加强基础安全、越狱防护和防篡改能力，必要时限制高风险能力，并建立与风险阈值挂钩的缓解和发布机制。
建议改进能力激发、红队攻击和实际风险评估方法，加强对AI智能体及开源模型篡改风险的研究，并探索兼顾安全性与实用性的风险缓解方案。
报告提示网络攻击、生物风险和失控领域均出现值得关注的预警信号，尤其应关注开源模型在能力与闭源模型追平、但安全防护明显落后的风险格局，建议要求模型开发者在发布前完成相关风险评估并采取必要的缓解措施，并根据模型能力、安全水平和开闭源方式实施差异化治理。
安远AI将持续通过“前沿AI风险监测平台”追踪全球最先进AI模型的风险动态，为构建安全可靠的人工智能提供数据支撑。
安远AI深耕前沿AI风险管理、评估与监测，已与国内外专业的AI安全机构合作产出多项成果：
安远AI与上海人工智能实验室、清华大学智能产业研究院、华为、智谱等合作伙伴，依托世界人工智能大会、联合国等平台，联合发布过《前沿人工智能风险管理框架 2.0》《前沿开放权重AI风险管理框架》《通用型AI智能体L1–L5分级安全框架白皮书》等一系列风险管理和分级框架，受到广泛关注与积极反馈。
安远AI与复旦大学系统软件与安全实验室、上海人工智能实验室等机构，合作发布《前沿大模型自主网络渗透评估报告》，将评估环境从基准测试推向更贴近真实网络渗透任务的场景。安远AI与NTI联合发起AI生物评测实践技术工作组，推动全球AI生物风险评测领域的方法研究与实践合作。
安远AI对各种形式的合作保持开放，期望与业内同行共建前沿AI风险评估和监测生态：
已有测评基准集成
我们可集成合作伙伴研发的、前沿AI风险领域内先进的能力和安全测评基准，持续跟踪前沿模型在这些基准上的表现。
测评基准合作研发
针对网络攻击、生物风险、化学风险、有害操纵和失控等重点领域，我们可与合作伙伴一起研发缺失的测评基准、改进现有基准的测评方法。
风险评估合作研究
我们的风险评估不局限于测评，也希望与合作伙伴一起，通过更好的威胁建模和真实案例分析来衡量模型可能造成的实际危害。
模型发布前风险评估
我们可为合作伙伴研发的模型在发布前进行前沿风险评估，并提供缓解建议，助力模型安全发布。
海外合规第三方测评
我们可为合作伙伴待发布或已发布的模型提供独立第三方安全测评，以满足欧盟等海外市场的合规需求。
风险防范和缓解实践
我们可将平台监测到的风险预警信息共享给合作伙伴，以便对风险预警进行及时响应，及时缓解潜在重大风险。
我们期待与来自学术界、产业界及政策机构的伙伴在以上方向展开合作，联系方式：
risk-monitor@concordia-ai.com
参考链接
1. 前沿AI风险监测平台：https://airiskmonitor.net/ （或点击下方“阅读原文”）
2. 风险指数2.1版升级说明：https://airiskmonitor.net/doc/zh/report/2026-Q3-Appendix#appendix-risk-index-v2-1
3.《前沿AI风险监测报告(2026Q3)》中文版：https://airiskmonitor.net/doc/zh/report/2026-Q3
4.《前沿AI风险监测报告(2026Q3)》英文版：https://airiskmonitor.net/doc/en/report/2026-Q3
注：平台尚未适配移动端，建议在PC端打开上述链接。
通用咨询与合作
info@concordia-ai.com
媒体合作
media@concordia-ai.com
前沿AI风险监测平台咨询与合作
risk-monitor@concordia-ai.com
我们的官网
www.concordia-ai.com
AI Safety in China英文简报
aisafetychina.substack.com
< 平台官网 >
https://airiskmonitor.net/
< 测评基准数据库 >
https://airiskmonitor.net/benchmark/list/
State of AI Safety in China
< 系列官网 >
https://aisafetychina.com/
< China AI Safety Policy-Risk Matrix >
https://aisafetychina.com/matrix/
< Chinese Technical AI Safety Paper Database >
https://aisafetychina.com/research/
作者：王伟冰、王金戈、张静昕
编辑审校：谢旻希、方亮、程远、陈欣怡、乌兰托雅
排版：乌兰托雅
