洺熙

一句话

中文 AI 安全领域，目前唯一一个把"攻防"整理成分类学的人。 他的贡献不是某个 exploit，是一套 8 域 40 子类的坐标系——让后来的人知道自己站在哪。

身份与产出

项	内容
ID	洺熙（网络 ID，非真名）
团队	米斯特安全团队（Mist），GitHub 组织 Acmesec
方向	大模型安全攻防：Prompt 注入、越狱、Agent/工具链、AI 红队
公众号	AI迷思录
公开身份	安全公司安全研究员；安世加沙龙、补天白帽沙龙、关保联盟培训班主讲

四份公开产出（按对学习者的价值排序）：

1. 《AI迷思录｜AI 应用与安全指南》 — github.com/Acmesec/theAIMythbook

国内唯一把 AI 安全切成 8 域、每域 5 子类的体系。最大价值不是深，是给了你一套可以拿去对话的词汇表。

2. 《Prompt 越狱手册》 — github.com/Acmesec/PromptJailbreakManual

不是提示词大全，是攻击手法的分类学：直接覆盖 / 角色扮演 / 提示词回显 / 分段载荷 / 编码混淆 / 间接注入。

3. 《AIPromptJailbreakPractice》 — 各模型实战复现。价值在时间戳：它告诉你某个模型在哪个月是脆的。

4. 《AI 红队攻防实践》讲义（先知/沙龙流出件）— 比文章更接近实战顺序。

8 域框架（这是他的核心贡献）

1. Prompt & Instruction Security      提示词与指令安全
2. Data & Privacy Security            数据与隐私安全
3. Model Security                     模型本体安全
4. System & Infrastructure Security   系统与基础设施安全
5. Agent & Toolchain Security         智能体与工具链安全
6. Multimodal Security                多模态安全
7. Operations & Governance Security   运营与治理安全
8. Security Assurance & Defenses      安全保障与防御

每域 5 个子类，共 40 个格子。面试时你说"这属于 Agent & Toolchain Security 里的 Tool Use and Action Safety"，和说"就是那个越狱"，是两种人。

从他身上该抄的三件事

1. 先建分类，再填案例。 他的产出成体系，是因为先有 8×5 的格子，再往格子里塞东西。多数人的"迷茫"本质是信息进来无处安放。

2. 把"提示词"降级成"载荷"。 别人把越狱当咒语背，他把它当 payload 分类——于是可复用、可组合、可写工具。

3. 用公开仓库当发布渠道。 公众号会限流会删，GitHub 的 commit 是永久的、可 diff 的、能被 fork 传播的。

同一条线上的中文作者

ID	在哪	代表作	抄什么
行之	先知社区	《我的大模型黑盒 RCE 挖掘之路》	从"能装 npm 包"推到"我能 RCE"的完整推理链
V_ghost	先知 / X	Agent 攻击面	黑盒提问方式：不问"有没有洞"，问"这个能力是谁给它的"
Clown / 活动仔 / 我来躺	先知	案例复盘、容器逃逸	脱敏写法、工具选型

我的判断（2026-11）

• 中文 AI 安全的方法论框架，基本由这一条线定型。 后来者要么沿用 8 域，要么得提出更好的分类——而目前没人提出来。
• 他的下一层缺口是"基准"：分类学解决了"放哪"，但没解决"做到什么程度算好"。谁先做出可复现的 AI 安全评测基准（类似 CVSS 之于漏洞），谁就拿走下一阶段的定义权。
• 对个人的启示：一个人不需要发明新攻击，只要把已有攻击整理成别人能用的表，就能成为这个领域的坐标。这件事的门槛是耐心，不是天赋。

相关（本站内）

• 他的框架衍生页：提示词注入、MCP 安全、RAG 语料投毒、Agent 沙箱逃逸
• 同线人物：行之、Johann Rehberger、Simon Willison