playground

一句话定位

把 AI agent 的红队测试做成每周一场的公开挑战赛：放一个带真实工具的活 agent 上场守秘密，系统提示词全公开，谁攻破谁赢，赢家的完整攻击实录公开展示。

做这个东西的人

Fabraix，一家做 AI agent 运行时安全（runtime security）的公司。playground 原本是 他们内部测试自家 guardrails 的工具，因为"自己人想攻击的角度总是那一套"，干脆开源成 公开挑战场。仓库挂在 github.com/fabraix/playground，HN 发布者 zachdotai 是团队成员。

判断：安全公司开源一个攻击工具，既是为了攒社区攻击数据，也是在给自家产品做 叙事——"连我们的 playground 都公开了，说明我们不怕被审视"。获客动机和真实需求 在这里是同一件事。

它到底能做哪几件事

• 每周一场活体挑战 → 部署一个带真实工具的 agent（web search、浏览等）， 给它一个要保护的秘密，系统提示词完全公开，社区尝试攻破
• 社区驱动选题 → 任何人可以提案挑战场景，社区投票，高票的进入上线候选
• 实录公开 → 挑战结束后，赢家的完整对话和 guardrail 日志全部公开归档， 每次攻击都被变成可学习的安全样本
• 规则评估在服务端 → guardrail 判定跑在服务端，防止前端篡改；agent runtime 将单独开源
• 本地可跑 → React 前端 + 版本化的挑战配置，npm install 即可在本地起开发环境

它在替代什么旧行为

以前测一个 agent 的防护，靠三条路：内部安全团队自己测（视角固定，容易遗漏）、 外包给红队/渗透测试公司（贵、周期长、通常几万到几十万美元）、或者用自动化 扫描工具（对"看似正常但意图越界"的语义攻击基本无效）。 playground 的替代思路是：把测试成本转嫁给一群有动力的人——奖金 + 名气， 你只需要把攻击结果沉淀下来。这是安全测试从"雇人"走向"众包"的一次试验。

商业模式

playground 本身开源免费，Fabraix 的收入靠商业安全产品。 公司定位是 "为 AI agent 提供运行时安全"，具体产品形态和定价未公开。

判断：公开挑战赛是获客和建立信任的工具，不是生意本身。它的真正资产是 积累下来的攻击实录库——那是任何内部团队靠预算都难攒出来的数据。

硬数字

• 73 star / 11 fork，仓库 2026-02-07 建，MIT 许可，TypeScript
• HN 发布一度 30 分（池内记录为 13 分），13+ 条评论，讨论质量高
• 第一场挑战：让 agent 调用"被明令禁止调用"的工具，有人约 60 秒攻破； 第二场转向数据外泄场景
• 有报道称每周挑战奖金总额超十万美元，但 Fabraix 官方发布未提及奖金细节，未证实

四维评估

判断

值得关注，因为它在造别人造不出的数据。 攻击实录 + guardrail 日志的公开库， 是这个项目最值钱的东西——安全行业的护城河向来是"见过足够多的攻击"。 众包模式让 Fabraix 用很少的钱获得持续的攻击样本流，同时每一篇公开实录 都在替它做市场教育。

要注意它的克制是否可持续。 挑战的"守秘密"设定是可控场景， 与真实生产 agent（有大量工具、长期记忆、用户身份）的差距很大。 它在验证"公开攻击测试能不能发现真问题"，但离"验证完就安全"还很远。

下一步看什么

① 挑战发布频率和实录库的积累量——三个月后公开实录是否稳定增长 ② 奖金机制是否兑现、是否真能持续吸引高水平攻击者（未被官方证实的十万美元周奖金是疑点） ③ Fabraix 商业产品是否有人买单、playground 是否只是获客工具

可借鉴的做法

产品逻辑：如果你在做一个社区/平台型产品，参考这个"把复杂任务外包给 有动力的人群"的机制——任务要具体（守一个秘密）、信息要透明（系统提示词公开）、 成果要沉淀（实录归档）。三者缺一，众包就退化成有奖答题。 另一个可抄的点：自用工具开源当获客入口，同时它本身就是最好的信任声明。

定价结构：无。未披露。

结论

值得关注。 机制有真实价值（公开实录 = 别人攒不出的数据），团队诚实 （连 LLM-as-a-judge 被攻破的实录都公开）。但要持续跟踪它是否只是营销引擎， 以及奖金叙事能否兑现。三个月后看上面三条。