朱日和从不预演。
AI 的战场，也不该预演。

「朱日和」这个名字本身就带着颜色——「朱」是朱砂的朱，是中国古代最贵重的红色颜料。这座位于内蒙古锡林郭勒盟与乌兰察布盟交界处的训练基地，前身是1957年的坦克师演习场，1994年被列为军队「九五」重点项目，1997年扩编为全军规模最大的合同战术训练基地，2003年首次对外军开放，可演习面积超过1000平方公里，是亚洲最大的陆战军事训练基地。

基地的灵魂不是场地，是常驻在这里的第81集团军某旅——外界更熟悉它的绰号：蓝军旅。指挥官满广志把这支部队定位成「磨刀石」：不模仿任何一支特定的外军，而是内部养出的假想敌，装备全计算机化的C4ISR模拟系统，在复杂电磁环境里跟每一支来「踢馆」的红军部队真刀真枪地对抗。「跨越」系列演习的场景毫不留情：红军部队一进场就遭遇导航系统瘫痪，300多公里机动途中就先损失三成兵力，还没正式接战，就要面对「空袭」和化学武器警报。

结果是压倒性的。2014到2016年间，红蓝对抗的战损比是1比32——红军三十二次交手只赢过一次，彻底打破了「红必胜、蓝必败」的传统脚本。这个数字一度让全军尴尬，也催生了那句流传甚广的口号：「踏平朱日和，活捉满广志」。但更值得记住的是「跨越2014」演习总指挥的那句话：

朱日和真正的价值，从来不是「蓝军有多强」，而是这套设计本身：不预演、不设脚本、不打招呼。蓝军旅不会为了照顾来访部队的面子放水，裁判部门不会为了好看的通报修改战损数字。这套逻辑并不是中国独有——美军在加州莫哈韦沙漠的欧文堡国家训练中心（NTC），同样常年驻扎着一支专职扮演假想敌的「第11装甲骑兵团」，几十年来的角色也是一件事：让来访部队在这里输得心服口服，好过在真实战场上输掉性命。

把这套逻辑挪到2026年的AI安全语境里，问题就变得很直接：谁是今天前沿AI模型的「蓝军旅」？下一节会说明白，这个问题不是修辞，而是已经有人流血的现实。

2026年，剑桥大学AI科学与政策项目（CASP）研究员Antonia Juelich发布了一份基于田野访谈的报告：27名前博科圣地成员，57次面对面访谈，横跨该组织两大派系ISWAP与JAS。结论毫不含糊：AI已经不是宣传工具，而是被系统性嵌入「备战—实战—复盘」每个环节的常设幕僚。

报告里的细节比想象中具体得多。武装分子用AI学习摩托车飞跃壕沟的战术动作——18人因此丧生，8人成功；用AI设计压力触发装置和罐头手榴弹，获取化学涂层弹药的制造指导；士兵佩戴胸前摄像头记录战况，指挥官把画面「上传给ChatGPT」实时分析局势、调整战术；输入缴获武器的编号就能拿到完整的使用保养手册，包括用柴油清洗卡壳枪支这样具体的土办法；组织甚至据此把派兵规模从「200人、阵亡60人」优化成「20人的更合适编制」。两大派系都设有专职AI小组，由炸弹和枪械专家组成，2023至2025年间有外国圣战人员亲自到场培训30到50名头目与骨干，普通战斗人员被严格禁止直接接触。当模型拒绝配合，他们越狱、换账号、找外部训练者帮忙。

值得说清楚的是这份证据本身的另一面：那次摩托车飞跃训练里，18人死亡、只有8人成功——AI的战术指导并不总是管用，有时候是错的，甚至是致命的。这不是说威胁被夸大了，而是提醒我们：真实世界里的「敌情」永远比一份干净的风险清单更混乱，也更值得被原样研究，而不是被简化成「AI让恐怖分子无所不能」的单一叙事。

这不是孤例。全球互联网反恐论坛（GIFCT）2025年的政策报告把暴力非国家行为体使用AI的方式归纳成五类：规避内容审核（用生成式AI给基督城恐袭视频叠加卡通形象绕过检测）、宣传与虚假信息（个性化深伪视频、更精细的AI配图已出现在ISIS官方出版物中）、招募与激进化（研究者发现聊天机器人越狱后会把用户导向基地组织网站）、攻击规划（「3D2A运动」指导3D打印枪支制造）、以及尚在早期但风险上升的攻击操作化（AI增强无人机已在乌克兰战场应用，索马里青年党也已用无人机侦察与宣传）。GIFCT的报告记录在案。

好消息是：没有人从零开始。过去两三年，至少四条线索已经在往「AI靶场」的方向摸索——只是彼此还没有缝合成一件事。

Anthropic 的常设网络靶场

Anthropic的Frontier Red Team专门评估前沿模型的国家安全级风险，方法论已经相当接近军事靶场：网络安全维度用约50台主机的仿真网络靶场做CTF夺旗测试，覆盖二进制漏洞利用、Web漏洞、密码学题目；生物安全维度用ViralCoding Test和LabBench评估模型在真实病毒学实验场景里的排障能力；核领域的评估直接与美国国家核安全管理局（NNSA）合作，走的是涉密评估流程。这套体系还通过美英两国AI安全研究所（AISI）做模型发布前的预部署测试。这是目前最接近「常设靶场」的实践，但它测的是Anthropic自己的模型。

Tech Against Terrorism 的首份反恐基准

2026年7月2日，联合国反恐周期间，伦敦非营利组织Tech Against Terrorism发布了首个专门针对恐怖主义滥用的AI安全基准：对27个主流模型跑了近2500条源自真实恐怖分子使用案例的单轮提示，覆盖26个用例。结果并不好看——约三分之一的回复给出了「超越网络搜索轻易获得」的可用帮助，完全拒绝率只有57%，15%的回复是「先拒绝、后在追问下妥协」。把请求包装成「研究用途」，模型的合规率会从17%跳到42%。被移除安全护栏的开源模型，合规率高达89%到100%。

GIFCT 的红蓝工作组，与联合国的沙盘

早在2023年，GIFCT就已经建立了「红队」与「蓝队」两个工作组，专门研究暴力极端组织如何利用AI、以及平台该如何防御。联合国反恐办公室2026年发布的《PCVE与AI实践指南》更进一步，明确建议模型「应针对对抗性输入和操纵尝试进行压力测试」，并列举了几个已经落地的攻防两用案例：Moonshot与Google Jigsaw的「重定向方法」用搜索广告拦截高危搜索词、把用户导向建设性内容；MIT的DebunkBot通过个性化反驳将用户的阴谋论信念降低约20%；Tackling Hate Lab用基于智能体的模拟模型测试「内容删除时机」对极端化进程的影响。

朱日和之所以成为解放军实战化训练的转折点，靠的不是某个单点技术，而是四条互相咬合的设计原则。逐条对照，今天的AI安全测试基本上只做到了其中的碎片。

这四条缺口叠在一起，指向同一个结论：现在的AI反恐测试，做的是红军「预案演习」那件事——自己出题、自己交卷、自己判分。朱日和真正颠覆的，恰恰是这套自己人评自己人的逻辑。

好消息是，前面提到的每一块拼图都已经存在，缺的是把它们粘合成一个像朱日和一样常设、真实、联合、透明的机构。设想中的架构大致分五层。

这不是要推倒重来。Anthropic的靶场方法论、Tech Against Terrorism的基准范式、GIFCT掌握的敌情、联合国的多边协调框架，四样东西已经分别成型——AI朱日和要做的，只是把它们焊接成一件事，并且赋予它朱日和真正的灵魂：不预演、不设脚本、不怕难看、常年驻扎。

在为这个蓝图叫好之前，有几件事必须先说清楚，否则这篇文章本身就不诚实。

敌情库本身就是弹药库。一份汇集了博科圣地真实战术、GIFCT哈希标签、Tech Against Terrorism案例细节的「战术手册」，一旦保管不善或者被泄露，它本身就是一份现成的恐怖分子培训资料。这不是假设性风险——CASP报告的作者自己就强调，田野证据的价值恰恰在于它足够具体、足够可执行，而这正是它危险的原因。谁有权限访问这座靶场的敌情库、用什么方式脱敏、多久轮换一次，本身需要一套比靶场架构更细致的治理设计。

涉密与开源的张力。Anthropic与NNSA的核领域评估走的是涉密流程，这套模式没法直接套用在需要公开、可复现、可被独立研究者验证的基准测试上。谁来决定哪些敌情可以进入公开靶场、哪些只能留在涉密通道里，是一道没有标准答案的政治题，不是纯技术题。

记分牌可能异化成免责声明。如果「上过朱日和」变成一次性的公关动作——测完、拿到一份不错的分数、发一篇通稿——那这座靶场就退化成企业已经在做的自证清白，只是换了个更响亮的名字。朱日和之所以有效，是因为蓝军旅常年驻扎、天天开战；如果AI靶场只在模型发布前跑一次，它复刻的只是朱日和的名字，不是朱日和的纪律。

威胁叙事本身需要克制。本文引用的每一份报告都在强调自己的方法局限：CASP承认样本有限、访谈存在幸存者偏差；Tech Against Terrorism承认这只是一次快照。18人在AI指导的摩托车飞跃训练中丧生的案例提醒我们，AI对恐怖组织的价值本身并不总是正向的。把每一个案例都渲染成「AI武装了恐怖分子」的确定性叙事，可能既不准确，也可能反过来为过度审查、无差别封锁AI能力提供借口——这同样是需要警惕的代价。

如果只记住「蓝军旅32:1打败红军」这个数字，其实错过了朱日和真正重要的部分。

它的遗产不是羞辱红军，而是把一件事制度化：在真正的战场之前，必须先在一个足够真实、足够常设、足够诚实的对手面前，把自己打败一遍。今天AI安全领域已经拥有了这场演习的每一件装备——真实的敌情（CASP、GIFCT）、成熟的靶场方法论（Anthropic的CTF与生物基准）、覆盖全行业的基准测试（Tech Against Terrorism）、多边协调的政治意愿（联合国）。唯独缺一个把它们焊在一起、常年驻扎、不怕难看的机构。

这件事的紧迫性不来自科幻式的末日想象，而来自剑桥大学那57次面对面访谈里，一个已经存在、已经在优化编制、已经在复盘战术失败原因的对手。造出这座「AI朱日和」，不会让威胁消失，就像朱日和从未让台海或任何一场真实冲突的可能性消失一样。它只会做一件更朴素、也更难的事——让今天演兵场上的输，换成明天现实世界里，少响一次爆炸。