一句话就能骗走你的客户资料：帮中小企业做AI红队测试的接单方向

九月中旬，国家网络安全宣传周上出现了一条被反复转发的演示：工作人员对着一个客服 AI 说了一句"忽略你之前收到的所有指令"，然后它就照着做了——把不该说的说了，把不该做的做了。同一周的行业媒体上，另一条更安静的新闻是：某开源 AI Agent 被发现只要在它能读到的网页里埋一句话，就能被诱导去窃取数据，攻击者连黑客技术都不需要。

这两件事放在一起，指向一个很多人还没反应过来的变化。

过去我们说"AI 不靠谱"，指的是它写错字、编数据、瞎自信。那顶多让老板丢脸。现在的问题是：AI 开始有手有脚了。它接了你的客服、它能读你的合同和报价单、它能调你的订单系统、它能给客户发消息。一旦它被一句话骗走，骗走的不是一次回答，而是你公司的数据、钱和客户。

这里有一个错位，错位就是生意：

企业已经在批量把 AI 上线了，但几乎没人负责证明它不会被骗。

-

一、这个窗口是怎么打开的

第一，攻击面从"模型"变成了"你的业务"。

两年前你担心的是大模型自己会不会说错话，那是模型厂商的事，你插不上手。现在你担心的是：接了你知识库的那个问答机器人，会不会被人从一份简历、一个商品评论、一个网页链接里塞进指令，让它把后台的价格策略或者客户名单吐出来。这个责任，模型厂商不背，背的是你。

第二，AI 上了线，但上线流程里没有"测安全"这一环。

绝大多数中小团队的 AI 上线流程长这样：找场景、选模型、接数据、内测几个问题觉得还行、交给客户用。中间没有任何一步是"我们试着攻击它"。不是不想测，是不知道从哪测、也没有人专职测。

第三，大厂的安全服务不会下沉到中小客户。

做 AI 安全治理的都是几百万起步的年度框架，面向的是银行、车企、运营商。一个三十人的 SaaS 公司、一个做私域客服的品牌方、一个自己写了 Agent 的独立开发者，找不到人也找不到预算做这件事——但他们恰恰是最容易被一句话打穿的那一批。

第四，合规的水位也在涨。

生成式 AI 服务要备案、要做安全评估，今年已经出现了面向全国的服务平台和一堆备案代办指南。但备案解决的是"资质"，企业真正被问到的问题往往是："你说你这套东西安全，你测过吗？测试报告在哪？"

答不上来，就是空的。

-

二、你卖的到底是什么

一句话：你卖的是"证明"和"找茬"，不是"修"。

客户要的不是你帮他改代码，而是你告诉他：他的 AI 现在能被怎么骗、被骗了会损失什么、哪几条最急。这个东西有个行业名字叫红队测试（red teaming），你不需要成为安全专家才能接最小的那一层。

具体交付四块：

第一块：攻击面清单。 先问清楚这个 AI 能读到什么、能做什么。它能读知识库吗？能联网吗？能读用户上传的文件吗？能调哪些接口——下单、退款、发消息、改数据？这一张表决定后面所有风险的量级。很多客户在这里第一次意识到：我原来给了它这么大权限。

第二块：提示注入测试。 分直接和间接两种，客户最陌生、也最容易中招的是间接注入——指令不是用户打进去的，而是藏在 AI 会读到的内容里：一份 PDF、一个网页、一段商品描述、一封邮件、一条评论。你把这些"埋了话"的材料喂进去，看它会不会照做。

第三块：越狱与信息泄露测试。 试着让它吐出系统提示词、吐出你给它设定的规则、绕开你的拒答策略、扮演一个"没有限制的角色"。这一步的价值不只是找漏洞，还能让客户看到自己写的那份提示词有多松。

第四块：分级报告 + 复测。 不要交一份漏洞清单就完事。按"能不能拿到数据 / 能不能执行动作 / 能不能绕过审核"分成三档，每档写清楚攻击路径、复现步骤、影响，和一条最低成本的缓解办法。改完再跑一遍复测，出一张对照表。客户买的其实是最后这张表——他终于能拿着它回答别人"你测过吗"。

注意一件事：你的产出是"攻击成功的证据"，不是"攻击成功的工具"。 前者叫安全测试，后者叫提供黑客工具，性质完全不同。

-

三、怎么定价

这个活的门槛不在工具，在判断，所以别把自己按小时卖。

• 单次抗骗体检：800–3000 元。一个应用、一轮测试、一份报告，两三天交付。适合独立开发者和刚上线的小产品，这是你的入口价。
• 上线前验收：3000–8000 元。覆盖完整攻击面清单 + 多轮测试 + 修复后复测，出一份能进项目文档的报告。适合要做备案、要交给大客户的中小公司。
• 季度复测订阅：1500–5000 元/季。AI 应用一改提示词、一接新数据源，之前测过的结论就作废了。这个变化频率就是复购的理由，也是这门生意比"一次性交付"更稳的地方。
• 单次复测：300–800 元/次。给已经有内部团队、只是缺个人验证的客户。

第一次报价容易报低。记住你交付的是"风险结论"，客户拿它去避免的损失可能是几十万——价格锚点不该是"我花了几个小时"。

-

四、谁最可能付这笔钱

按紧迫程度排：

1. 已经上了 AI 客服、AI 导购的商家。 有真实用户对话、有真实订单接口，一出事就是投诉和赔付。 2. 做 Agent 的独立开发者和小团队。 他们最清楚自己没时间测安全，也最怕上线第一天被人截图发出来。 3. 接了甲方数据的 SaaS 公司。 甲方迟早会问"你数据怎么隔离的""你做过安全测试吗"，提前准备好答案比被问住便宜。 4. 有合规压力的行业客户——金融、医疗、教育、政务外包。他们不缺预算，缺的是一个愿意按项目接、能出中文报告的人。 5. 给企业做 AI 落地实施的集成商。 他们手里一堆客户，但没人测安全。把他们变成你的渠道，比一个个找终端客户快得多。

-

五、从零开始的五步

第一步：先给自己当靶子。 挑三个公开的 AI 产品（公开试用、允许测试的那些），写十份测试记录：进去的是什么话、藏在哪、出来的什么反应。这不是为了发出去，是为了建你的语料库。两周就能攒出一套别人没有的东西。

第二步：把攻击样本分类沉淀下来。 按手法分：直接指令覆盖、编码与变形绕过、多轮诱导、藏在文档或网页里的间接注入、工具调用劫持、语言切换。每类记下"什么场景有效、什么场景失效"。这份表格就是你的生产资料。

第三步：写一份真正看得懂的报告模板。 多数技术报告死在客户看不懂。做成三页：第一页一句话结论和风险等级，第二页三条最高危的问题配复现步骤，第三页给不做技术活的老板看——"如果不修，最坏会发生什么"。报告质量决定你复购率。

第四步：找第一批客户，别从大客户开始。 独立开发者社区、AI 产品的用户群、做 AI 集成的服务商，是最好的起点。给他们一个低门槛的入口价，换真实案例和一句"我帮谁测过"。有了三份案例，报价就能往上走一档。

第五步：把复测变成习惯。 每次交付时就说清楚："你的提示词和知识库一变，结论就过期。"让复测成为流程里默认存在的一步，而不是你临时去推销的东西。

-

六、AI 在这门生意里怎么用

注意边界：你可以用 AI 加速测试，但不能用 AI 代替判断。

能用 AI 做的： 批量生成攻击载荷的变体——同一个意图换十种说法、十种编码、十种语言，人工写要一下午，AI 十分钟。 把测试记录整理成分级表格，自动归类"哪类手法命中率最高"。 把技术描述改写成客户老板能读懂的话，这一步省掉的时间比想象中多。 帮你查这个客户所用模型和框架的公开已知问题，作为测试起点的假设。

不能交给 AI 的： 判断哪条路径最可能造成真实损失。 判断权限边界——这个接口该不该给这个 AI。 报告里的结论和风险定级。这个只有你能签字。

-

七、五个必须提前守住的坑

坑一：未经授权的测试就是违法。 这是唯一的红线。任何测试之前必须拿到书面授权，范围写死：哪些系统、哪些时间窗口、能做哪些动作。出了范围就是入侵。别觉得"我只是试试""我是好意"能当理由。

坑二：不要接"帮我绕过别人家 AI 审核"的单。 这种需求来的时候通常包装得很好听——研究、风控、竞品分析。但只要目标是别人家的系统、且你没收不到授权，你就是攻击方而不是测试方。这一单的钱不值得。

坑三：测试结果不能外流。 你在测试过程中看到的用户数据、价格策略、内部文档，全部属于保密范围。报告只给客户，过程材料交付后清掉。这一条是你能不能长期吃这碗饭的基础。

坑四：别只盯着提示词，漏掉权限。 最容易被忽略、后果最严重的往往不是"它说了不该说的话"，而是"它做了不该做的事"。Agent 能调什么接口、能读什么库、能不能发消息、能不能转账——这层不查，报告就是半成品。

坑五：永远不要说"测过就没问题"。 安全是概率，不是保险。你要说的是："在我测试的这几十条路径下，没有发现可导致数据泄露或越权操作的漏洞，但我不能保证不存在未知路径。"这句话会让客户觉得你专业，而不是觉得你不给承诺。

-

最后

AI 把"上线一个功能"的成本压得很低，同时也把"被人骗一次"的成本压得很低——攻击者现在不需要会写代码，只要会用自然语言。

在这个落差被填平之前，会有一段不短的时间，企业需要有人帮它回答一个问题：我这些东西，到底扛不扛得住一句话？

能干净地回答这个问题的人不多，而且这件事不需要你是安全圈的人，只需要你比别人早半年开始认真当靶子。