扫描不等于 AI 红队测试：94% 的告警是噪声

Giskard 用运行在 GPT-5.4 mini 上的银行支付 Agent Aria 实测 Garak、Promptfoo、DeepTeam、PyRIT 四款 LLM 安全扫描器，4,101 条告警中 94% 无需修复，39 个已确认漏洞仅检出 7 个、9 个严重漏洞仅检出 4 个。误报主因是扫描器判分器不了解 Agent 的用途，把询问收款方等正常行为判为失败；另有 3 个漏洞被触发却被扫描器自己的判分器判为 PASS。严重缺陷藏在工具调用而非文本回复，向伪造商户 ID 付款的漏洞在 15,563 次测试中无一被发现。28 个风险场景中四款扫描器合计只实现 10 个、6 个从未尝试，尽管都宣称覆盖 OWASP Top 10。文章建议保留扫描器并叠加威胁模型，用 EBIOS Risk Manager、STRIDE 等框架列出风险场景，据此判分、统计覆盖率并补齐红队缺口。