AI / 安全术语表

配套案例：常见 LLM 风险。

3 秒版（最高频 10 词）

1. LLM = 会接话写文的 AI 大脑
2. 提示词 = 你对它说的话
3. Agent = 能点按钮干活的 AI
4. API = 程序调用模型的插座
5. Token = 计费与长度单位
6. RAG = 先查资料再回答
7. 提示词注入 = 骗 AI 改规矩
8. 越狱 = 绕过安全限制
9. 幻觉 = 一本正经胡说
10. 护栏 = 厂商设的安全边界。

目录

• 用 AI 时
• AI 出事时
• 旁边那些安全词
• 进阶词条（P1）
• OWASP LLM01–10 术语入口

用 AI 时

大语言模型（LLM） {#llm}

1. 一句话：专门读写字、对话和推理的 AI 模型。
2. 像什么：读过海量书的实习生，会接话但不会自动核实每条事实。
3. 为啥在安全文里出现：攻击和防护都围绕「模型听谁的话、漏什么、能干什么」。
4. 别搞混：LLM ≠ 整个 App；聊天界面、数据库、插件是外壳。
5. 例子：站点主题就是 LLM 被滥用时会出哪些险。见 welcome。

生成式 AI（GenAI） {#genai}

1. 一句话：能生成文字、图、代码等内容的一类 AI。
2. 像什么：打印机，输入提示，输出新内容。
3. 为啥在安全文里出现：OWASP「Top 10 for LLM」管的就是这类系统。
4. 别搞混：GenAI ⊃ LLM；还有图像、语音等生成模型。
5. 例子：GenAI 安全清单里列了提示词注入、Agent 越权等。见 welcome。

提示词（Prompt） {#prompt}

1. 一句话：你发给模型的指令和上下文文字。
2. 像什么：给外卖备注；写错了，出餐就歪了。
3. 为啥在安全文里出现：攻击常藏在别人写的 Prompt 或网页里，间接控制模型。
4. 别搞混：用户 Prompt ≠ 系统提示词（后者是开发者定的规矩）。
5. 例子：攻击者把「忽视先前指令」藏在简历里，筛简历的 AI 中招。见 welcome § LLM01。

系统提示词（System prompt） {#system-prompt}

1. 一句话：开发者写在后台、用户通常看不见的「岗位说明书」。
2. 像什么：餐厅后厨 SOP，顾客菜单上看不到。
3. 为啥在安全文里出现：注入成功时，攻击目标是改写或绕过这层规矩。
4. 别搞混：改系统提示词要攻应用；改用户一句聊天只是普通 Prompt。
5. 例子：若系统把 customer_360 全塞进 Prompt，用户可能被诱导套出档案。见 welcome § LLM08。

API（应用编程接口） {#api}

1. 一句话：程序按约定调用模型或云服务的入口。
2. 像什么：电插座：插对了才有电，插错或滥插要买单。
3. 为啥在安全文里出现：Agent 无确认调 API、蒸馏盗用 API、Token 账单都与它有关。
4. 别搞混：API ≠ 网页聊天框；后者背后往往仍调 API。
5. 例子：Agent 直连云 API 跑 Shell，没有 HITL 确认。见 welcome § LLM03。

Token {#token}

1. 一句话：模型处理文本的切分单位，也常用作计费与长度计量。
2. 像什么：出租车里程表；路越长（上下文越大）越贵。
3. 为啥在安全文里出现：超大上下文可拖垮服务或刷爆账单（LLM06）。
4. 别搞混：Token ≠ 登录令牌（session token）；后者是 会话 安全词。
5. 例子：攻击者塞数万 Token，API 卡死、账单暴涨。见 welcome § LLM06。

上下文 / 上下文窗口（Context） {#context}

1. 一句话：模型单次能「看见」的对话与资料总量。
2. 像什么：办公桌面积；堆太多旧文件，新任务没地方放。
3. 为啥在安全文里出现：隐秘拼接用户档案进上下文会导致 LLM08 类泄露。
4. 别搞混：上下文窗口是容量上限；RAG 是往窗外搬参考书进来。
5. 例子：系统把全量账户档案拼进 Prompt，攻击者问「列出我的背景变量」。见 welcome § LLM08。

RAG（检索增强生成） {#rag}

1. 一句话：先查知识库，再让模型根据检索结果回答。
2. 像什么：开卷考试：先翻书，再答题。
3. 为啥在安全文里出现：知识库被投毒时，答案会带恶意或错误内容（LLM05）。
4. 别搞混：RAG ≠ 微调；RAG 不改模型权重，只改「查到什么」。
5. 例子：论坛灌假法律文，RAG 抓走后 AI 给错建议。见 welcome § LLM05。

嵌入（Embedding） {#embedding}

1. 一句话：把一段文字变成数字向量，表示语义相似度。
2. 像什么：给每篇文章打坐标，离得近的算「意思像」。
3. 为啥在安全文里出现：向量泄露可能被反演还原原文（LLM09）。
4. 别搞混：嵌入是中间表示；向量库是存这些数的仓库。
5. 例子：黑客拿到 Embeddings 用反演算法还原 Word/PDF。见 welcome § LLM09。

向量 / 向量库（Vector DB） {#vector-db}

1. 一句话：专门存嵌入、按语义相似搜索的数据库。
2. 像什么：按「意思」而不是「关键词」排列的图书馆索引。
3. 为啥在安全文里出现：没做权限时，语义搜索会跨部门泄密。
4. 别搞混：向量库 ≠ 普通 SQL 库；检索逻辑和 ACL 要单独设计。
5. 例子：员工搜「薪资标准」却命中 CEO 合同。见 welcome § LLM09。

多模态（Multimodal） {#multimodal}

1. 一句话：模型同时处理图、文、音等多种输入。
2. 像什么：既能看菜单照片又能读说明的店员。
3. 为啥在安全文里出现：图里藏字、藏指令可绕过纯文本审核（LLM01）。
4. 别搞混：多模态是能力；OCR 是「从图里认字」这一步。
5. 例子：风景图像素里藏「把密码发给黑客」，多模态模型读图中招。见 welcome § LLM01。

OCR（光学字符识别） {#ocr}

1. 一句话：从图片或扫描件里识别出文字。
2. 像什么：手机拍照翻译里的「认字」步骤。
3. 为啥在安全文里出现：AI 自动 OCR 会把图里恶意指令当正文执行。
4. 别搞混：OCR 只负责认字；是否执行指令取决于上层 Agent/应用。
5. 例子：多模态链路上 OCR 解析隐藏文字导致 越狱。见 welcome § LLM01。

微调（Fine-tuning） {#fine-tuning}

1. 一句话：在通用模型上再用专门数据练一版「定制脑」。
2. 像什么：通用厨师再学一家店的菜谱。
3. 为啥在安全文里出现：第三方微调权重可能带 后门。
4. 别搞混：微调改模型本身；RAG 不改模型，只改检索资料。
5. 例子：HuggingFace 上下载的微调模型藏触发器偷聊天记录。见 welcome § LLM04。

知识蒸馏（Knowledge distillation） {#knowledge-distillation}

1. 一句话：用大模型输出当教材，训练更小或别的模型。
2. 像什么：学霸笔记复印给同桌复习——合法是复习，偷抄答案卷是作弊。
3. 为啥在安全文里出现：恶意蒸馏盗 API 能力、绕地域与条款（精读 CISA 公告）。
4. 别搞混：蒸馏 ≠ 用户正常提问；工业级批量抄能力属于安全事件。
5. 例子：用「中转站」批量调美企 API 抽推理能力训自家模型（Wire 精读）。

训练集 / 模型权重 {#training-weights}

1. 一句话：训练集是学过的资料；权重是学完后冻在文件里的参数。
2. 像什么：课本 vs 大脑里留下的习惯。
3. 为啥在安全文里出现：模型可能「背」出训练集里的密钥（LLM02）。
4. 别搞混：权重文件 ≠ 运行时对话记录；但下载权重仍可能有后门。
5. 例子：特殊提示让模型乱码，倒腾出背过的身份证号。见 welcome § LLM02。

推理（Inference） {#inference}

1. 一句话：模型已训练好，单次回答问题的那次计算。
2. 像什么：考完试现场答题，不再改课本。
3. 为啥在安全文里出现：侧信道攻击盯的是推理阶段的流量与时延（LLM02）。
4. 别搞混：推理 ≠ 训练；训练烧钱改权重，推理烧钱按 Token 计费。
5. 例子：监听 TLS 包长与延时推断对话内容（Whisper Leak）。见 welcome § LLM02。

护栏（Guardrails） {#guardrails}

1. 一句话：产品里限制模型行为的安全规则与过滤器。
2. 像什么：游乐园护栏：好玩但不能出圈。
3. 为啥在安全文里出现：越狱 就是试图翻护栏；负责任 AI 要求设护栏。
4. 别搞混：护栏 ≠ HITL；护栏自动拦，HITL 是人点确认。
5. 例子：DevFest 精读强调速度与隐私都要靠护栏平衡（Wire 精读）。

MCP（Model Context Protocol） {#mcp}

1. 一句话：让 AI 统一连接外部工具与数据的一种开放协议。
2. 像什么：USB 口标准：插件多了，劣质插头风险也大。
3. 为啥在安全文里出现：带毒 MCP 插件属于供应链攻击（LLM04）。
4. 别搞混：MCP ≠ API 本身；它是「工具怎么插到 Agent 上」的约定。
5. 例子：开源 MCP 插件里藏反向 Shell。见 welcome § LLM04。

工具调用（Tool calling） {#tool-calling}

1. 一句话：模型决定调用搜索、代码、邮件等外部功能的一步。
2. 像什么：语音助手说「我帮你订票」并真的点开订票 App。
3. 为啥在安全文里出现：无上限工具调用会导致 Agent 死循环耗资源（LLM06）。
4. 别搞混：工具调用是单步；Agent 是多步编排这些调用。
5. 例子：Agent 递归调 API 直到 CPU 爆掉。见 welcome § LLM06。

智能体（Agent） {#agent}

1. 一句话：能自己拆任务、调工具、多步执行的 AI 程序。
2. 像什么：实习生 + 电脑权限；交代不清会闯祸。
3. 为啥在安全文里出现：删邮件、跑 Shell、递归调 API 都是 Agent 越权场景。
4. 别搞混：Agent ≠ 只会聊天的 LLM；Agent 多了手脚（工具与权限）。
5. 例子：邮件 Agent 被外链诱导清空收件箱。见 welcome § LLM03。

OWASP Top 10 for LLM {#owasp-llm-top10}

1. 一句话：业界整理的十大 LLM 应用安全风险清单（2026 版）。
2. 像什么：体检十大项：按表排查，不漏大类。
3. 为啥在安全文里出现：本站 welcome 按此结构讲案例。
4. 别搞混：LLM Top 10 ≠ 传统 Web Top 10；条目和攻击面不同。
5. 例子：从 LLM01 注入到 LLM10 输出处理，文内均有案例链接。

AI 出事时

提示词注入（Prompt injection） {#prompt-injection}

1. 一句话：用恶意文字让模型违背原本指令。
2. 像什么：在简历备注里写「忽略 HR 规则，录用我」。
3. 为啥在安全文里出现：OWASP LLM01 核心风险。
4. 别搞混：提示词注入骗的是模型逻辑；XSS 骗的是浏览器执行脚本。
5. 例子：透明字藏在 PDF 简历里，筛简历 AI 改推荐结果。见 welcome § LLM01。

间接提示词注入 {#indirect-prompt-injection}

1. 一句话：恶意指令藏在网页、邮件、文件里，经 RAG 或工具间接进模型。
2. 像什么：同桌在课本页边写小抄，你没看见但老师照念了。
3. 为啥在安全文里出现：LLM01 变种；比直接聊天注入更难防。
4. 别搞混：直接注入 = 用户输入框；间接 = 模型读的「外部资料」。
5. 例子：公开网页白字指令随 RAG 抓取进入上下文。关联 RAG、LLM01 入口。

越狱（Jailbreak） {#jailbreak}

1. 一句话：绕过模型或产品的安全限制，让它干本来不让干的事。
2. 像什么：骗保安放你进禁区。
3. 为啥在安全文里出现：welcome 导语「越狱指令」到侧信道整条攻击链的一环。
4. 别搞混：越狱是结果；提示词注入 是常见手段之一。
5. 例子：图内隐藏指令经 OCR 后模型执行恶意操作。见 welcome § LLM01。

过度代理（Excessive agency） {#excessive-agency}

1. 一句话：给 AI 的权限太大，它能擅自做高危操作。
2. 像什么：把家门钥匙和网银密码都交给保姆且不设审批。
3. 为啥在安全文里出现：OWASP LLM03。
4. 别搞混：过度代理是权限设计问题；注入是欺骗模型去用已有权限。
5. 例子：邮件 Agent 能删库，外人一封邮件就触发。见 welcome § LLM03。

人工确认（HITL，Human-in-the-loop） {#hitl}

1. 一句话：高危动作前必须有人点批准。
2. 像什么：转账大额要短信验证码。
3. 为啥在安全文里出现：缺 HITL 时 Agent 跑 Shell/API 不可接受（LLM03）。
4. 别搞混：HITL 是流程；护栏 是自动规则，可并存。
5. 例子：无 HITL 时 Agent 自动执行云 API 与 Shell。见 welcome § LLM03。

幻觉（Hallucination） {#hallucination}

1. 一句话：模型自信地输出不存在或错误的事实。
2. 像什么：记错细节却讲得头头是道的同学。
3. 为啥在安全文里出现：OWASP LLM07；可演变成恶意依赖包名。
4. 别搞混：幻觉是无意编造；投毒 是别人故意喂假资料。
5. 例子：AI 捏造 npm 包名，攻击者抢先注册投木马。见 welcome § LLM07。

红队（Red teaming） {#red-team}

1. 一句话：专人扮演攻击者，主动找 AI 系统漏洞。
2. 像什么：消防演习纵火（受控），不是真火灾。
3. 为啥在安全文里出现：厂商用红队验证模型与产品能否防住新攻击。
4. 别搞混：红队是测试活动；渗透测试 范围常更大，不限 AI。
5. 例子：OpenAI 欧盟文提到红队网络验证安全（Wire 精读）。

敏感信息披露 {#sensitive-disclosure}

1. 一句话：模型或应用把不该说的秘密说出去。
2. 像什么：客服把内部价目表念给路人。
3. 为啥在安全文里出现：OWASP LLM02（含训练集记忆、侧信道）。
4. 别搞混：LLM02 泄露内容；LLM08 侧重「上下文里藏了啥」被套话。
5. 例子：重复特殊词诱发乱码，倒出训练集里的密钥。见 welcome § LLM02。

隐秘上下文暴露 {#hidden-context-exposure}

1. 一句话：后台悄悄塞进 Prompt 的私密资料被用户套出来。
2. 像什么：考官口袋里的评分表被考生骗看。
3. 为啥在安全文里出现：OWASP LLM08。
4. 别搞混：LLM08 = 设计时多塞了背景；LLM02 更宽，含训练记忆与流量侧信道。
5. 例子：customer_360 拼进 Prompt，用户问「列出我的背景变量」。见 welcome § LLM08。

向量与嵌入弱点 {#vector-embedding-weakness}

1. 一句话：向量检索或嵌入泄露导致隐私或越权访问。
2. 像什么：按「意思」找文件却没过门禁。
3. 为啥在安全文里出现：OWASP LLM09。
4. 别搞混：LLM09 管向量层；RAG 投毒 管知识库内容假。
5. 例子：向量反演还原 PDF；无 ACL 搜到 CEO 薪酬。见 welcome § LLM09。

供应链漏洞（AI 语境） {#supply-chain}

1. 一句话：模型、插件、依赖包来源不可信或被篡改。
2. 像什么：超市货架上被插了过期变质的调料包。
3. 为啥在安全文里出现：OWASP LLM04（MCP、PyPI、HF 模型）。
4. 别搞混：供应链 ≠ 仅传统软件 CVE；含权重与 MCP 插件。
5. 例子：带毒 MCP、后门微调模型。见 welcome § LLM04。

数据与模型投毒 {#backdoor-poison}

1. 一句话：故意往训练数据或知识库塞偏见、后门、假话。
2. 像什么：在百科词条里改一句致命医疗建议。
3. 为啥在安全文里出现：OWASP LLM05 RAG/训练污染。
4. 别搞混：投毒是外部喂脏数据；幻觉 常是模型自己编。
5. 例子：论坛灌错法律文，RAG 抓取后误导用户。见 welcome § LLM05。

无节制资源消耗 {#unbounded-consumption}

1. 一句话：攻击或设计失误让模型无限耗 Token、算力、API。
2. 像什么：恶意顾客占座点单却不走，店被打烊。
3. 为啥在安全文里出现：OWASP LLM06。
4. 别搞混：LLM06 偏滥用计费与算力；DoS 是更广的「服务被打挂」。
5. 例子：超大上下文 + Agent 死循环调 API。见 welcome § LLM06。

输出处理不当 {#improper-output-handling}

1. 一句话：把 AI 输出当代码/HTML 执行时没消毒。
2. 像什么：把陌生人纸条上的话原样贴在公告栏并执行。
3. 为啥在安全文里出现：OWASP LLM10（XSS、RCE、Shell）。
4. 别搞混：LLM10 是应用开发问题；不是模型「想坏」，是集成太信输出。
5. 例子：AI 生成 <script>，页面未转义触发 XSS。见 welcome § LLM10。

零数据保留（Zero data retention / ZDR） {#zdr}

1. 一句话：厂商承诺请求结束后不长期保存你的提示与回复。
2. 像什么：碎纸机：谈完即毁稿，不建档。
3. 为啥在安全文里出现：企业合规选型 API 时的关键条款（OpenAI ZDR 精读）。
4. 别搞混：ZDR ≠ 绝对不上传；是「不落库保留」，传输仍可能发生。
5. 例子：检查企业 API 是否符合零数据保留（Wire 精读）。

水印 / 内容凭证（C2PA、SynthID 等） {#watermark}

1. 一句话：标记内容是否 AI 生成、从哪条链路来的。
2. 像什么：商品防伪标，不是锁，但能追溯。
3. 为啥在安全文里出现：欧盟 AI 法案语境下的透明度要求（Wire 精读）。
4. 别搞混：水印助溯源；护栏 助拦截有害生成。
5. 例子：系统卡片 + C2PA/SynthID 标 AI 生成图（Wire 精读）。

旁边那些安全词

XSS（跨站脚本） {#xss}

1. 一句话：网页把恶意脚本当正常内容执行。
2. 像什么：公告栏被人贴「点开就中招」的纸条。
3. 为啥在安全文里出现：LLM10：AI 生成的 HTML/JS 未转义就会 XSS。
4. 别搞混：XSS 在用户浏览器；提示词注入 在模型决策层。
5. 例子：AI 输出含 <script>，Markdown 渲染未过滤。见 welcome § LLM10。

RCE（远程代码执行） {#rce}

1. 一句话：攻击者在服务器上跑任意命令。
2. 像什么：外人拿到你电脑管理员账号。
3. 为啥在安全文里出现：LLM10：AI 输出进 eval()/system() 可 RCE。
4. 别搞混：RCE 是后果；Shell 穿透 是常见路径之一。
5. 例子：未转义系统命令经 system() 执行。见 welcome § LLM10。

注入（SQL / 二次注入等） {#injection}

1. 一句话：把恶意片段塞进查询或模板，改变程序行为。
2. 像什么：在表格「姓名」栏写公式，整表被改。
3. 为啥在安全文里出现：传统漏洞常和 AI 输出串联（二次注入）。
4. 别搞混：提示词注入 针对模型；SQL 注入针对数据库语句。
5. 例子：工控/邮件系统 CVE 摘要里的 SQL 注入（Wire）；AI 场景见 LLM10 二次注入。

Shell / 沙箱 {#shell-sandbox}

1. 一句话：Shell 是系统命令行；沙箱是限制命令能碰什么的笼子。
2. 像什么：Shell = 万能遥控器；沙箱 = 儿童模式只许开灯。
3. 为啥在安全文里出现：Agent 调 Shell、穿透沙箱是 LLM03/LLM10 高频词。
4. 别搞混：沙箱穿破 ≠ 越狱 模型；前者是服务器命令权限。
5. 例子：AI 输出喂给 system()，沙箱未拦住。见 welcome § LLM10。

DoS / 拒绝服务 {#dos}

1. 一句话：把服务拖到不可用或极慢。
2. 像什么：恶意占满所有电话线路。
3. 为啥在安全文里出现：Token 账单爆破、API 卡死常归类 DoS（LLM06）。
4. 别搞混：DoS 打可用性；敏感信息披露 打保密性。
5. 例子：数万 Token 请求拖死 API。见 welcome § LLM06。

侧信道 {#side-channel}

1. 一句话：不破解内容本身，靠流量大小、延时等旁路猜秘密。
2. 像什么：听保险箱转盘声音猜密码，而不是撬锁。
3. 为啥在安全文里出现：推理阶段 TLS 流量可推断对话（LLM02 Whisper Leak）。
4. 别搞混：侧信道 ≠ 模型亲口说出；是监视「传输痕迹」。
5. 例子：包长与响应延时推断用户聊了什么。见 welcome § LLM02。

ACL / 权限控制 {#acl}

1. 一句话：规定谁能看哪条数据、能调哪个操作。
2. 像什么：工牌只能刷自己部门的门。
3. 为啥在安全文里出现：向量检索只看相似度不看 ACL 会 LLM09 泄密。
4. 别搞混：ACL 是授权；护栏 是模型行为限制，两层都要。
5. 例子：普通员工语义搜到 CEO 薪酬合同。见 welcome § LLM09。

CVE {#cve}

1. 一句话：公开给某个具体软件漏洞编的唯一编号。
2. 像什么：病历号：查编号知哪类怪病、有无补丁。
3. 为啥在安全文里出现：Wire 精读大量 CISA/工控公告都带 CVE。
4. 别搞混：CVE 记漏洞；不等于 AI 专有；但 AI 集成软件同样会有 CVE。
5. 例子：CISA 把已利用漏洞列入 KEV，要求优先修补（Wire 精读）。

渗透测试 {#pentest}

1. 一句话：授权前提下模拟黑客打系统。
2. 像什么：请锁匠试撬自家门。
3. 为啥在安全文里出现：CyberGym 等基准测 Agent「会不会利用漏洞」（Wire）。
4. 别搞混：红队 常聚焦 AI 行为；渗透测试可扫整个 IT 面。
5. 例子：Hugging Face 文档公开 CyberGym 给 AI 代理练漏洞利用（Wire 精读）。

误报 / 漏报（真阳性） {#false-positive}

1. 一句话：误报 = 没洞报有洞；漏报 = 有洞没报出。
2. 像什么：烟雾报警器炒菜也响（误报），真着火却不响（漏报）。
3. 为啥在安全文里出现：AI 扫代码漏洞误报率常超 50%（欺骗基准 Wire）。
4. 别搞混：这是评测指标；幻觉 是模型编造内容，不专指安全扫描。
5. 例子：「欺骗基准」测模型能否分清真漏洞与看起来像的代码（Wire 精读）。

零信任（Zero Trust） {#zero-trust}

1. 一句话：默认谁都不信，每次访问都要验证。
2. 像什么：进每个房间都刷卡，不因为「已在公司」就免检。
3. 为啥在安全文里出现：CISA 诱饵指南与 AI 部署并提（Wire 精读）。
4. 别搞混：零信任是网络架构思路；不是 LLM 专用术语。
5. 例子：假设攻击者已在网内，用诱饵资产抓行为（Wire 精读）。

会话 / 认证绕过 {#session}

1. 一句话：会话是你登录后的「临时身份证」；绕过 = 没登录却当管理员。
2. 像什么：伪造展会手环进 VIP 区。
3. 为啥在安全文里出现：工控、SAML 等 CVE 摘要常见（Wire）。
4. 别搞混：Token 在 AI 文里多指计费单位；session token 是会话凭证。
5. 例子：SAML 模块签名漏洞导致会话被劫持（Wire 精读）。

社会工程 {#social-engineering}

1. 一句话：骗人而不是骗系统，让人交出密码或点链接。
2. 像什么：冒充快递短信骗验证码。
3. 为啥在安全文里出现：钓鱼 + AI 写稿降低攻击成本（多篇 Wire 行动提示）。
4. 别搞混：社会工程攻人；提示词注入 攻模型输入。
5. 例子：内网邮件警惕 AI 辅助生成的诱导链接（工控公告行动提示）。

进阶词条（P1）

读 welcome 和 Wire 精读时偶现；需要再展开时回查本节。

前沿模型（Frontier model） {#frontier-model}

1. 一句话：能力最强、风险也最受监管关注的那档商业大模型。
2. 像什么：试飞最新客机，规则也最严。
3. 为啥在安全文里出现：蒸馏、州立法、联邦安全框架都围绕 frontier。
4. 别搞混：前沿 ≠ 最新小版本号；常指 flagship 能力梯队。
5. 例子：CISA 公告称针对美企 frontier 模型做工业级蒸馏（Wire）。

Agentic / 多智能体（Multi-agent） {#agentic}

1. 一句话：多个 Agent 分工协作完成长任务。
2. 像什么：项目组：调研、写稿、审核各一位实习生。
3. 为啥在安全文里出现：企业工作流与 GPT Responses API 新特性（Wire 精读）。
4. 别搞混：Multi-agent 是架构；单个 Agent 也可 agentic 地循环。
5. 例子：开启 native multi-agent + programmatic tool calling（Wire 精读）。

思维链（CoT，Chain-of-thought） {#cot}

1. 一句话：模型把推理步骤写出来再答（或内部展开）。
2. 像什么：数学题要求「写出过程分」。
3. 为啥在安全文里出现：恶意蒸馏会专门偷 CoT 推理能力（CISA 文）。
4. 别搞混：CoT 是推理形式；知识蒸馏 是拿别人输出训自家模型。
5. 例子：蒸馏 campaign 提取 chain-of-thought（Wire 原文）。

强化学习 / 监督微调（RL / SFT） {#rl-sft}

1. 一句话：SFT 用示范答案教；RL 用打分奖惩练行为。
2. 像什么：SFT = 照示范做菜；RL = 评委打分改做法。
3. 为啥在安全文里出现：蒸馏文列举对手偷 SFT/RL 能力（Wire）。
4. 别搞混：二者都是训练手段；读者只需知道「被偷的是训练成果」。
5. 例子：Moonshot 蒸馏 GPT/Claude 的 SFT、RL 能力（Wire 原文）。

误报率 / 漏报率（FPR / FNR） {#fpr-fnr}

1. 一句话：FPR = 安全代码被错判有洞；FNR = 真洞没检出。
2. 像什么：安检误拦行李 vs 漏带违禁品。
3. 为啥在安全文里出现：欺骗基准要求 FPR、FNR 都低于 10% 很难（Wire）。
4. 别搞混：见 误报 / 漏报；FPR/FNR 是数学定义。
5. 例子：前沿模型单轮提示难以同时 FPR、FNR <10%（Wire 原文）。

包名幻觉（Package hallucination） {#package-hallucination}

1. 一句话：AI 编造不存在的依赖包名。
2. 像什么：菜谱写「某某神奇酱料」—超市根本没有，坏人可先注册假货。
3. 为啥在安全文里出现：OWASP LLM07 典型案例。
4. 别搞混：是 幻觉 的一种；攻击面在 npm install。
5. 例子：捏造 PyPI 包名，攻击者抢先注册木马。见 welcome § LLM07。

反向 Shell（Reverse shell） {#reverse-shell}

1. 一句话：受害机器主动连回攻击者，交出命令行。
2. 像什么：家里电话被改成只许打给骗子。
3. 为啥在安全文里出现：带毒 MCP/插件典型恶意行为（LLM04）。
4. 别搞混：反向 Shell 是攻击 payload；RCE 是能力结果。
5. 例子：MCP 插件藏反向 Shell。见 welcome § LLM04。

评测 / 基准（Eval / Benchmark） {#benchmark}

1. 一句话：固定题库测模型或 AI 工具好不好、安不安全。
2. 像什么：期末统考，不是平时作业。
3. 为啥在安全文里出现：CyberGym、欺骗基准、红队评测（多篇 Wire）。
4. 别搞混：Benchmark 是测；红队 是攻（可结合成评测）。
5. 例子：14822 样本「欺骗基准」测 AI 找漏洞误报（Wire 精读）。

零点击（Zero-click） {#zero-click}

1. 一句话：受害者不用点链接、不用接电话也能中招。
2. 像什么：路过染病毒空气（夸张类比，强调「无操作」）。
3. 为啥在安全文里出现：WeWorm 微信通话漏洞报道（Wire 精读）。
4. 别搞混：零点击是漏洞利用方式；与 提示词注入 无直接关系。
5. 例子：微信通话零点击蠕虫，AI 辅助缩短 exploit 周期（Wire 精读）。

WebSocket / 流式语音 {#websocket}

1. 一句话：浏览器与服务器长连接，适合实时语音双向流。
2. 像什么：电话线一直通着，不用每句话重新拨号。
3. 为啥在安全文里出现：Gemini Live 类 API 实现方式（Wire 精读）。
4. 别搞混：WebSocket 是传输；多模态 是模型能力。
5. 例子：Gemini Live 用 WebSocket + Web Audio API（Wire 精读）。

Ollama（本仓库工具链） {#ollama}

1. 一句话：在本机跑开源模型的常见工具，deep-read-feed 用它写精读。
2. 像什么：自家厨房小灶，不依赖云端外卖。
3. 为啥在安全文里出现：读者若复现 Wire 精读会见到 Ollama 环境变量。
4. 别搞混：Ollama ≠ 模型本身；是加载模型的运行时。
5. 例子：见仓库 scripts/deep-read-feed.mjs 与 README「deep-read-feed」。

OWASP LLM01–10 术语入口

读 常见 LLM 风险 时，可按条跳转本表 → 术语锚点。

说明：welcome 文中 OWASP 链接编号与官方 LLM02–LLM10 文件名偶有混用；上表按 welcome 小节标题（LLM01–LLM10） 对齐术语，不以 GitHub 路径为准。