普通软件测试通常验证一个功能在预期输入下能否正确运行，例如登录是否成功、订单能否保存。AI 红队测试更关注另一类问题：有人故意绕过限制、诱导模型越权或提供混淆信息时，系统会发生什么。 红队不是随意问几个刁钻问题。测试前要明确系统用途、数据、工具权限和不可接受结果，再设计能够重复执行的对抗场景。 对于普通问答系统，可以测试虚假来源、提示注入、隐私诱导和危险建议；对于能够调用工具的智能体，还要测试越权读写、错误对象操作、重复执行和确认机制失效。 普通测试常以“输出等于预期值”为结果，AI 输出具有变化性，红队需要同时记录输入、配置、模型版本、完整响应、工具动作和人工判定。只保存一句“失败”很难复现问题。 红队测试也不能代替基础工程质量。身份认证、权限隔离、参数校验、日志、备份和回滚仍需要传统测试。模型拒绝了一次危险请求，不代表底层接口没有越权漏洞。 测试结果应进入修复和回归：问题属于提示词、权限、检索数据还是业务流程；修复后原场景是否通过；修改有没有导致正常任务不能完成。最终目标不是证明系统绝对安全，而是持续发现边界、降低风险并准备失败时的人工接管。 本文在提纲整理和初稿撰写中使用了AI辅助，发布前已人工复核事实与表达。