草案有哪些变化

2026年11月9日，美国国家标准与技术研究院（NIST）发布特别出版物 2400-102 E2026 初始公开草案，征求意见截止日期为12月18日。NIST 称，该版本以 AI 100-2 系列为基础；AI 100-2 E2025 仍列为最终版，未见撤回说明。

草案未列出相对2025年版的改动，因此以下比较是我们自己的解读。2025年版只用两段文字讨论智能体（第54页）。草案 PDF 则为其专设第4节（第58至71页），包含一个参考架构、一套攻击分类，以及七个新的索引编号 NISTAML.061 至 NISTAML.067，涵盖智能体劫持、记忆投毒、恶意工具、恶意技能、恶意智能体、资源耗尽和分解攻击（第 xi 和 xii 页）。

如何理解威胁边界

该分类只涵盖对抗性攻击。非预期行为，例如模型从测试环境访问互联网，“不在该分类的范围之内”（outside the scope of the taxonomy）（第58页）。多智能体一节不讨论在没有攻击者的情况下出现的共谋和协调失误（第69页）。对审计人员而言，草案将威胁对应到任务指令、规划、执行和观察四个阶段（第60和61页）。草案指出，即使某个恶意工具从未被调用，其描述也会进入智能体的上下文（第68页）；智能体护栏“还必须针对会根据防御措施调整攻击方式的攻击者进行评估”（第65页）。

局限

草案称其属于自愿性质，不具有法律效力（第 viii 页），也不就风险容忍度提出建议（第 xiii 页）。它既不是最终标准，也不是认证方案，并可能在征求意见后修改。