AI 的速度与风险悖论
企业正以前所未有的速度拥抱人工智能（AI）以追求生产力跃升，但这背后潜藏着一个严峻的矛盾——“AI 悖论”：开发速度以指数级增长的同时，一个前所未有的安全风险敞口也随之产生。数据显示，数据安全已成为 72% 高阶主管最关切的议题，这标志着企业对 AI 的态度已从“价值怀疑”转变为“风险恐惧”。
我們將深入分析由 AI 驱动的开发所引发的新兴威胁格局，并将其解构为三个关键维度：**AI 供应链风险（恶意模型）、AI 行为风险（提示词注入等）以及 AI 治理风险（影子 AI）**。传统的应用安全（AppSec）方法论已不足以应对 AI 时代的挑战，企业必须采用一种全新的、AI 原生的方法论来构建具有韧性的 AI 安全体系。
一、 AI 供应链危机：潜伏于模型中的恶意代码
现代软件的供应链已发生根本性变化，其范围已扩展至包含从 Hugging Face 等公共平台获取的预训练 AI 模型。模型文件可被武器化的核心在于不安全的“反序列化”过程（特别是 Python 的 pickle 模块）。攻击者可利用此特性将恶意代码嵌入模型，当企业加载该模型时，恶意代码即被执行，从而植入后门或窃取数据。
传统的软件组成分析（SCA）工具主要扫描已知的 CVE 漏洞。然而，AI 供应链中的威胁本质上是一个被武器化的恶意载荷，而非传统漏洞。因此，专为扫描 CVE 而设计的传统安全工具，对此类新型威胁在概念上是“盲目”的。
二、 AI 行为战场：动态交互的武器化
除了模型文件的静态威胁，AI 系统在运行时的动态行为也构成了一个全新的攻击面。根据 OWASP 基金会的框架，关键的 AI 行为风险包括：
- 提示词注入 (Prompt Injection)：攻击者通过精心设计的输入，操纵大语言模型（LLM）的行为以绕过安全护栏，执行非预期操作。
- 不安全的输出处理 (Insecure Output Handling)：应用程序对 LLM 生成的输出过度信任，未经验证便传递给下游系统，可能导致代码执行等安全问题。
- 训练数据投毒 (Training Data Poisoning)：攻击者通过污染训练数据来操纵模型，使其产生错误的、带有偏见的或有害的输出。
AI 的行为风险使应用程式的攻击面变得概率性且不可预测。传统的确定性安全工具难以应对，这意味着保护 AI 系统需要一种全新的方法论：对抗性测试，即“AI 红队演练”。
三、 AI 治理鸿沟：“影子 AI”的普遍威胁
“影子 AI”指的是员工在未经授权与监管的情况下，私自使用外部 AI 工具的行为。数据显示，企业中高达 73.8% 的 ChatGPT 账户为员工个人账户，而存在高度“影子 AI”风险的组织，其数据外泄的平均成本要高出 67 万美元。
仅仅禁止使用 AI 工具并非可行策略。信息安全官（CISO）面临的挑战不仅在于监控，更在于提供一个安全、受认可且高效的替代方案，并建立完善的治理框架，引导员工在安全的环境下利用 AI 提升效率。
四、 市场应对策略的差距
当前，网络安全供应商们正试图将其能力扩展至 AI 领域，但市场格局呈现出危险的碎片化状态。多数厂商仅专注于 AI 安全挑战的某一个切面——要么是保护 AI 的“输出”（即 AI 生成的代码），要么是保护 AI 运行的“基础设施”。这种“单点防御”的策略，无法应对一个横跨输入（供应链）、核心（模型行为）及使用（治理）的完整攻击链。市场迫切需要一个整合性的 AI 原生安全框架。
五、 应对之道：构建 AI 原生安全框架
一个理想的 AI 原生安全框架，必须能够全面覆盖 AI 资产的完整生命周期。以 Mend.io 的解决方案为例，该框架应具备以下核心能力：
1. 保护 AI 供应链：框架应能自动发现并分析代码库中所有的 AI 模型与框架，识别开源许可风险、已知漏洞及恶意软件包。通过建立“AI 组件清单”，可以有效应对 pickle 反序列化等供应链威胁。
2. 管理 AI 行为：框架必须提供自动化的对抗性测试（AI 红队演练），以模拟多样化的攻击向量，主动识别 AI 系统在提示词注入、数据泄露等方面的行为漏洞。
3. 实现全面治理：框架应提供一个主动式的策略引擎，允许组织为所有 AI 组件定义并管理特定的安全规则，从技术层面提供有效的治理手段，以缓解“影子 AI”带来的风险。
结论：构建具韧性的 AI 安全体系
由业务驱动的 AI 快速采纳，已创造了一个严峻的安全悖论。企业必须超越仅关注代码的传统安全观念，将 AI 模型及其相关组件视为应用安全计划中的核心资产。
