全球AI安全治理出现了一个很拧巴的局面：一边是国家发展改革委在多边场合倡导共研安全标准、协同漏洞通报，另一边却是谷歌因为AI生成的“幻觉”漏洞报告多到压垮维护团队，不得不暂停部分开源漏洞奖励计划。2026年11月3日，国家发展改革委创新和高技术发展司副司长王若蒙在“十五五”系列新闻发布会上明确表示，人工智能安全不是某一家企业、某一个行业或者某一个国家能够独自解决的问题，倡导在多边框架下深化人工智能治理国际合作，共研安全治理标准，加强漏洞通报、风险预警、应对处置等方面的协同。这话听起来是外交辞令，但放到当下全球漏洞报告数量陡增、AI安全预算结构生变的节骨眼上，分量就完全不一样了。
先说一个最容易被忽略的反差。过去十年，安全领域的主流叙事是“能力竞赛”——谁的模型更强、谁的算力更大、谁的漏洞挖掘更快。可2026年这一轮，竞争的焦点正在从“发现问题的速度”转向“定义问题的标准”。用大白话讲，漏洞发现得越多，越不代表系统更安全，反而可能把维护团队拖进低质量报告的泥潭。开源证券10月12日发布的AI网络安全行业研报里给了一个判断：AI时代网络安全进入“AI对抗AI”的阶段。这话...