2025 AI安全预测：七成攻击来自供应链，治理要建资产台账

简介面向安全与风险管理领导者、AI安全与软件供应链从业者的PDF材料围绕Gartner对2025年网络安全趋势的判断展开重点讨论生成式AI落地受挫、AI代理漂洗、应用安全组件库存薄弱以及深度伪造与自动化攻击升温等议题帮助读者识别AI动荡期的新攻击面。包内仅含1个PDF文件压缩包约215KB篇幅精炼便于快速通读、团队传阅或作为安全例会材料目前已有90人学习。内容梳理了报告的关键发现与战略规划假设包括到2025年超过70%针对企业AI的恶意攻击将源于软件供应链和基础设施技术栈中毒并涉及2027年AI代理进一步自动化凭据窃取、缩短账号暴露利用时间等判断。同时给出审查应用安全实践、盘点AI软件供应链组件、优先推进成果驱动型AI计划、持续评估AI增强安全团队收益等建议可作为制定年度安全优先级、排查AI管道风险与准备深度伪造防护的参考。1. 2025 年的AI动荡期一份预测报告把风险指向了别处2025 年 2 月一份面向安全与风险管理负责人的预测报告给出了一个不太符合直觉的判断企业级 AI 面临的恶意攻击主角不是模型越狱也不是提示词注入而是软件供应链和基础设施技术栈的中毒——报告给出的量化口径是到 2025 年这类攻击占针对企业所用 AI 的恶意攻击七成以上。换句话说风险的大头不在模型本身而在模型周边那堆没人清点的东西。这份材料同时给了另外三条时间线到 2027 年网络安全领域成功的 AI 落地有九成是任务自动化与流程增强而非岗位替代同一年AI 代理会把凭据窃取和认证通道攻击进一步自动化把账号暴露后的利用时间压缩一半到 2028 年四成社会工程攻击的目标从高管扩散到更广泛的员工群体手段是深度伪造一类的伪造现实技术。四条假设拼在一起是一张“AI 动荡期”的风险地图。值得注意的是发布时点。报告明确写了早期生成式 AI 实验的失望情绪正在蔓延安全团队对 GenAI 的信心被削弱而供应商侧的“AI 代理漂洗”已经开始。一边是投入打了水漂的挫败感一边是新一轮自动化承诺的轰炸中间夹着真实的攻击面扩张。这个错位才是这份预测最值得从业者读的地方。2. 七成攻击来自供应链被低估的AI资产清单问题2.1 攻击者为什么选供应链投入产出比决定了战场报告里有一句判断很直白攻击者传统上就把大部分攻击放在基础设施和供应链层面除非他们有非常具体的攻击目标。原因不复杂——这是“最小投入换最大影响”的位置。打一个模型应用你要绕过它的鉴权、它的输入过滤、它的日志告警打它依赖的开源模型、它跑着的 notebook、它拉取数据的管道你只需要在上游放一次毒下游所有实例一起中招。这个逻辑在 AI 场景里被放大了。传统软件供应链的组件边界相对清晰SBOM、SCA 工具、镜像扫描这套东西虽然不完美但至少有抓手。AI 供应链多出来的是数据科学那一层模型权重文件、Jupyter Notebook、Python 依赖、训练和推理的数据管道。这些东西在很多组织里由业务团队或算法团队自行管理安全团队既没有清单也没有扫描工具更没有准入流程。从行业角度看这就是典型的影子资产问题重演——十几年前的影子 IT几年前的影子 API现在轮到影子 AI 管道。区别在于影子 IT 出事顶多是数据泄露影子 AI 管道出事可能是模型被投毒后长期输出偏差结果而这种污染很难在运行时被发现。2.2 报告里的两个数字1% 的模型与数千个被污染笔记本这份材料给了两个来自客户现场的数字比任何定性描述都有分量专门做 AI 安全的厂商在客户站点定期扫描开源模型反馈说最多有 1% 的开源模型被植入恶意软件同时在客户现场发现了数千个被感染的 notebook。1% 听起来不高但基数太大了。一个中等规模的组织随手就能拉下来几十上百个开源模型做试验1% 意味着个位数的中招概率而模型一旦被加载恶意代码就可能随着反序列化过程执行。notebook 的风险更直接——它本质上是可执行代码加数据很多人把它当成文档在传阅和共享实际上打开运行就是一次代码执行。这里有个容易被忽略的细节报告指出并非所有传统应用安全工具都已经进化到能对 AI 实体做漏洞扫描。也就是说你以为覆盖了的扫描很可能在 AI 组件这块是空的。团队拿着一份绿色的扫描报告以为万事大吉其实最危险的那部分根本没进扫描范围。这种“假性安全”比明知道没扫更危险因为它会让人放松警惕。# 概念示意AI 资产清单的最小字段设计 ai_asset { asset_id: unique-id, type: model | notebook | pipeline | dependency, # 资产类型决定后续扫描策略 source: internal | third_party | open_source, # 来源决定信任级别 origin_url: ..., # 拉取地址便于溯源与比对哈希 hash: sha256:..., # 内容指纹检测篡改 owner: team-or-person, # 责任人没有责任人的资产等于没人管 scan_status: scanned | not_supported | failed, # 关键区分“扫过且干净”和“扫不了” last_seen: timestamp }上面这段不是可直接运行的代码而是一个字段设计思路重点在最后两个字段。scan_status必须能表达“扫描器不支持这类资产”这个状态否则清单会骗人last_seen用来清理僵尸资产长期没被调用却还挂在环境里的模型和管道是最典型的攻击入口。实际落地时这套字段通常要跟现有的 CMDB 或资产平台对齐而不是另起一套表格否则三个月后就没人维护了。2.3 数据管道配置错误比逐个交易攻击更划算的目标报告还点了一个具体攻击路径攻击者利用用户对数据管道的错误配置把敏感信息外流到犯罪服务器。原文的表述是攻击数据管道比一次一个运行时交易地攻击更有“收成”。这条在实战里很常见。数据管道连接着存储、计算和下游系统权限往往是粗粒度的——为了让训练任务能跑直接给一个宽权限的凭据为了方便调试把中间结果写到公开可读的存储桶为了省事把日志里带上完整的数据样本。这些配置在功能测试阶段不会暴露任何问题只有在被主动探测时才会变成数据外流的通道。对应到防御动作报告的建议是升级或部署基础设施安全能力包括机密计算和数据管道的深度检测。机密计算解决的是“运行中的数据处理过程不被宿主侧窥探”深度检测解决的是“管道里流的是什么、流向哪里”。这两件事在传统安全预算里往往被归为“以后再说的先进性投入”但当 AI 项目大规模上马、数据管道数量翻倍之后它们会变成刚需。2.4 从运行时转向供应链TRiSM 的分层视角报告给的第一条建议是先把 AI 应用的发现和清点流程建起来然后把现有应用安全的最佳实践迁移到 AI 项目上。第二条建议更值得注意对 AI 应用启动软件成分分析和漏洞评估项目并且不要假设现有的基础设施安全与漏洞扫描工具已经正确处理了 AI 组件。这两条背后是一个视角切换过去几年安全团队在 AI 上的注意力大量放在运行时向量上——提示词注入、越界输出、模型滥用这些当然重要但它们的防守面窄。供应链和基础设施栈的防守面宽得多一旦出事影响也大得多只是它不在聚光灯下。报告建议采用覆盖 TRiSM 全栈的分层方法并部署 AI 治理工具持续评估所有 AI 资产的安全态势尤其是来自软件供应链的那部分。这个思路对安全管理者的启示是AI 治理不能只做合规文档得能回答“我们现在跑着多少个模型、它们从哪来、依赖了什么、上次扫描结果如何”这几个具体问题。答不上来治理就是纸面的。3. 从生成式AI失望到代理炒作九成落地是“任务增强”3.1 只有 12% 拿到可测量结果但热情没退报告里那个数字很扎眼安全与风险管理负责人对 GenAI 的潜力持谨慎乐观态度但只有 12% 已经取得了可测量的成果。投入巨大、进展有限可预期中的反弹并没有出现——报告自己也把这称为一个悖论。解释这个悖论的关键在于“可测量”这三个字。安全团队的很多工作天然难以量化告警降噪了多少、分析时间缩短了多少、误报率下降了多少这些指标需要基线、需要对照组、需要统计周期而这些恰恰是安全运营里最缺的基础设施。于是大量项目变成了“用了感觉还行但拿不出数”这类项目在预算审查时最容易被砍。从行业角度看12% 这个比例不必解读为失败率它更像是一个成熟度刻度。任何技术在进入组织的头两年能拿出硬指标的都是少数剩下的在摸索场景。真正需要警惕的是另一种情况项目上了、钱花了、没人敢说没效果最后变成沉默成本。3.2 代理接近炒作顶峰但成熟度还很低报告引用了 2024 年的技术成熟度曲线判断自主代理正接近期望膨胀期的顶峰而到达稳定成熟期还需要 5 到 10 年。同时指出尽管投入巨大编排代理工作流的 GenAI 技术整体成熟度仍然偏低还有一些基础性限制尚未解决。这个判断和市场上看到的热度形成了明显反差。2025 年前后从创业公司到大型平台都在宣称能自动化整个工作流话术高度一致。报告用了“AI agent washing”这个词可以理解为代理漂洗——把原本的规则引擎、脚本编排、RPA 重新包装成“AI 代理”换个壳子涨价。对从业者的现实意义是选型时的辨别成本变高了。判断一个所谓代理是不是真代理看它失败时的行为真代理在步骤失败后能重新规划路径能在信息不足时主动追问能把中间状态暴露出来供人干预套壳产品在失败时只会报错退出或者干脆静默跳过。这个测试不需要看架构图跑几个异常场景就能看出来。3.3 九成是战术落地这个预测对预算分配意味着什么到 2027 年网络安全领域成功的 AI 实现有九成是战术性的——任务自动化和流程增强而不是角色替代。这条预测如果成立它对预算分配的含义非常直接把钱花在能立刻观察到收益、且出问题容易回滚的单点任务上比花在端到端转型项目上更划算。报告举的例子是事件分析和漏洞优先级排序。后者有个数据支撑2024 年的一项安全运营调研显示只有 34% 的受访组织实现了自动化的漏洞优先级排序流程。也就是说需求明确存在渗透率却只有三分之一这类场景就是典型的战术落地机会——边界清晰、输入输出可定义、效果可度量、失败可回退。战术落地还有个隐性好处它允许团队混合使用商业工具和私有部署的模型。端到端转型项目通常绑定单一供应商而单点任务可以一个场景用商业 API、另一个场景用自建模型按照数据敏感度和成本灵活切换。这种混搭在实践中的性价比往往更高也让团队积累起对不同模型能力的真实体感。提示评估任何声称能替代岗位的方案时先要求对方给出在你自己环境里的失败案例处理流程而不是成功案例的演示。演示环境永远干净。3.4 人工复核不是过渡方案而是架构的一部分报告的建议里有一条特别实在在半自动化工作流中保留定期的人工验证测试阶段做抽样核查上线之后继续保持。另一条是在扩展试点中确定每个用例的自主性与控制权的平衡点并对员工做代理交互和调试的培训。这两条的价值在于它们否定了“先人机协同、后完全自动”这个线性叙事。现实中人工复核不是等 AI 成熟了就能摘掉的拐杖而是系统设计里必须长期保留的一环。原因在于误报的业务容忍度——安全运营的老教训是检测做出来了响应却跟不上因为误报一旦触发业务中断没人敢让它自动执行。所以更合理的架构是让 AI 做判断和排序让人做执行和确认中间用可审计的方式记录每一步。这套结构在短期内会显得效率不够极致但它能活下来。反过来追求全自动的方案往往在第一次误伤核心业务之后被整体关停前面的投入全部归零。4. AI代理加速账号接管利用时间被压缩一半4.1 ATO 攻击链的每一环都在被自动化报告对账号接管的判断是这仍是一个持续存在的攻击向量弱凭据通过各种途径被收集——数据泄露、钓鱼、社会工程、恶意软件——然后攻击者用机器人对多个服务发起登录尝试赌的是凭据复用。而 AI 代理会进一步自动化 ATO 杀伤链上的更多步骤从基于深度伪造语音的社会工程到端到端的凭据滥用自动化。关键在于“更多步骤”这个词。过去的自动化集中在暴力尝试这一环也就是拿到凭据之后的撞库阶段。现在被自动化的是前置环节语音克隆降低电话诈骗的门槛文本生成让钓鱼话术可以批量定制信息收集让攻击者能快速拼出一个人的社交关系和工作习惯。前置环节的成本一旦降下来攻击的绝对数量就会上去。4.2 2027 年的 50%这个数字该怎么读到 2027 年AI 代理会把凭据窃取和认证通信通道的破坏进一步自动化把利用账号暴露所需的时间减少 50%。这个预测的重点不是“快了一倍”而是“防御方的时间窗口被砍半”。账号暴露到被利用之间的时间差是整个账号安全体系赖以运转的基础。检测异常登录、触发二次验证、通知用户、临时锁定——这些动作都需要时间。窗口砍半意味着原来够用的响应链条会开始出现漏网尤其是那些依赖人工介入的环节值班人员看到告警、判断是否误报、走流程确认、联系用户。这套流程在小时级窗口下能跑通在几十分钟级窗口下就会频繁失效。从防御设计角度这意味着响应必须往前移从“事后检测”移到“事中阻断”和“事前降低可利用性”。具体来说短时效凭据、设备绑定、行为基线这类东西的优先级会上升因为它们不依赖人的反应速度。4.3 带外MFA的脆弱性短信、邮件与推送轰炸报告点名了一类容易被当成“已解决”的风险依赖带外通信通道的多因素认证同样脆弱包括拦截通过短信或邮件发送的一次性验证码以及推送轰炸——用大量推送提示淹没用户直到用户屈服点确认。推送轰炸这个手法在实战中效率极高因为它利用的是人的疲劳而不是技术漏洞。凌晨三点连续几十条推送多数人会点确认让手机安静下来。这类攻击没法靠加密解决只能靠设计解决限制推送频率、对异常时段的认证请求加严、把“拒绝”做成默认而不是需要主动操作。短信和邮件的 OTP 问题更结构性。短信通道的安全边界在运营商侧企业无从控制邮件 OTP 则和账号本身的安全水平绑定一旦邮箱沦陷第二因素等于没有。报告提到 FIDO2 passkey 已被多数访问管理工具和部分大型消费服务支持但终端组织和用户侧的采用进展缓慢密码这类遗留凭据在可预见的未来仍会存在。这个现实很无奈但必须接受过渡期会很长防御不能建立在“大家都用上 passkey”的假设上。合理的做法是分层——高价值账号强制强认证普通账号至少做异常检测同时对带外通道本身做加固和监控。4.4 通信渠道与凭据安全要一起重新评估报告给的建议是预判新一波账号接管攻击重新评估通信渠道和凭据安全尤其是在半自动化和即将到来的 AI 代理架构下。这句话把“通信渠道”和“凭据”并列是有讲究的。很多组织的账号安全评估只做凭据侧——密码策略、MFA 覆盖率、权限回收而通信渠道被默认为可信基础设施。但在 AI 代理参与之后通信渠道本身成了攻击面代理需要通过某种通道接收指令、回传结果、请求授权这条通道如果鉴权不严等于给攻击者开了一个拥有合法权限的入口。所以在设计代理架构时通道的身份认证、指令完整性校验、权限边界这三件事要在第一版就定下来不能等出事再补。血泪经验是这类架构补安全的成本远高于一开始就设计进去因为后期改动要动所有已接入的代理。5. 深度伪造下沉四成社会工程攻击不再只盯高管5.1 目标从高管扩散到全员意味着什么到 2028 年四成社会工程攻击将不只针对高管而是用深度伪造和其他伪造现实技术瞄准更广泛的员工群体。这条预测的方向性比数字更重要它宣告了“高管专项防护”这个策略的失效。过去几年企业对付深度伪造的思路是保护少数高风险个体——给高管做专项培训、约定内部暗号、限制公开的音视频素材。这套做法在目标集中时有效因为资源可以集中投放。当目标扩散到全员专项防护的边际效益就崩了你没法给几千人做一对一的暗号约定也没法控制每个员工在社交平台上留下的音视频痕迹。更麻烦的是普通员工面对深度伪造时的判断力天然更弱而他们手里的权限却足以造成实际损失——财务付款、客户数据查询、系统配置变更。攻击者要的不是高管身份本身是能触发某个操作的那个权限。5.2 伪造现实的成本曲线与检测的滞后报告提到诈骗内容已经可以大规模生成伪造语音和深度伪造攻击正在成为有效的攻击向量。这背后是成本曲线的变化生成一段逼真的语音从过去需要专业设备和配音演员变成几分钟和一点算力。检测侧的处境则被动得多。伪造技术在进步检测模型在追赶这是一场没有终点的对抗。更现实的问题是检测结果很少是确定的“真”或“假”而是一个概率值而业务决策需要的是确定答案。当一段语音的可信度是 70%财务人员该不该付款这个问题技术上无解只能靠流程解。所以报告的措辞值得注意为潜在的新威胁做准备但不要陷入恐慌保持 AI 威胁情报能力并针对已观察到的、有实际危害的深度伪造攻击调整防御。这句话的重点在“已观察到、有实际危害”——防御资源应该跟着实证走而不是跟着新闻热度走。5.3 从“识别真假”转向“验证身份”面对伪造现实一个逐渐被接受的思路转向是不再试图判断内容真假而是验证交互对端的身份真实性。这个转向在实践中有几个具体落点。第一是把关键操作的身份验证从“知识型”和“ possession 型”往“强绑定型”迁移。声音、视频、外貌都属于可伪造的通道不能作为身份依据设备绑定、硬件密钥、带外回呼这些通道的伪造成本要高得多。第二是建立操作层面的异常拦截。即便身份验证通过一笔超出常规时间、常规金额、常规对象的付款请求也应该触发额外的确认流程。这个流程的设计要点是确认动作必须走一条与原始请求不同的通道否则攻击者控制了原通道就能一并伪造。第三是给员工一个不丢脸的怀疑通道。血泪经验是大部分社会工程攻击成功不是因为员工没看出来而是因为看出来了但不好意思质疑上级的紧急请求。建立一条“核实不追责”的流程比任何培训都管用。防护层次传统做法面对深度伪造的调整身份验证密码 短信 OTP硬件密钥、设备绑定、带外回呼关键操作单人审批双人复核 独立通道确认员工培训识别钓鱼邮件特征建立可质疑、可核实的流程威胁情报通用威胁订阅聚焦已观察到有实际危害的攻击类型5.4 威胁情报要“调参”不能只订阅报告建议保持 AI 威胁情报职能并针对已观察到的、有危害的深度伪造攻击调整防御。这里的“调参”是关键词——威胁情报的价值不在于订阅了多少源而在于能不能把情报转化成具体的检测规则和流程调整。具体来说如果你所在行业最近出现的是伪造供应商语音变更收款账户那防御动作就该落在供应商信息变更的复核流程上如果出现的是伪造内部指令要求紧急转账那动作就落在紧急请求的验证通道上。情报到防御之间要有一条明确的转换路径否则情报只是每周一份没人细看的报告。6. 误判清单这份预测最容易被读歪的五个地方6.1 误判一把七成供应链攻击理解成“模型不安全”看到“七成恶意攻击来自供应链和技术栈中毒”第一反应容易落到“开源模型不能用了”或者“得赶紧自研模型”。这个理解偏了。报告说的是攻击位置在供应链和基础设施栈不是模型算法本身有缺陷。绝大多数中招不是因为模型有后门而是因为模型文件被替换、notebook 被植入、依赖包被投毒、管道配置错误。怎么看防御重心应该放在资产清点、来源验证、完整性校验、准入流程上而不是纠结用哪个模型。模型选型是业务问题供应链安全是流程问题两者不要混在一起讨论否则会得出“换个模型就安全了”的错误结论。6.2 误判二把 12% 的可测量成果当作 GenAI 失败证据12% 这个数字容易被拿来做两种极端解读一种是“GenAI 就是泡沫”另一种是“我们的项目没出数是因为行业都这样”。两种都懒。怎么看要区分“没有效果”和“没有度量”。大量安全 AI 项目卡在后者——效果可能有但没有基线、没有对照组、没有统计口径所以说不出来。真正该做的动作是给项目补度量设计而不是急着下成败结论。同时也要承认确实有一部分项目就是没效果早停比硬撑好。6.3 误判三把“九成是战术落地”理解成“不需要战略”90% 的成功案例是任务自动化和流程增强这个预测经常被引用来论证“别做平台、别做转型、只做小工具”。这是一个危险的简化。怎么看战术落地和战略规划不冲突。战术落地解决的是单点效率和可回退性战略解决的是这些单点怎么连成体系、数据怎么沉淀、能力怎么复用。只做战术三年后你会发现手里有一堆互不相通的自动化脚本只做战略两年后你会发现预算烧完了还没上线。合理的配比是大部分资源投战术、小部分资源投能把战术串起来的基础设施。6.4 误判四把代理成熟度低当作“再等等”的理由既然成熟期还要 5 到 10 年那是不是可以先不投入这个推理在技术演进快的领域经常翻车。怎么看等成熟再进场等到的是别人已经踩完坑、定完标准、积累完数据的市场。合理的姿态是低成本试点加严格评估——用小范围的真实场景去试用可测量的指标去评重点是积累“什么场景不适合”的判断力。这种判断力没法通过看报告获得只能自己试出来。6.5 误判五把深度伪造当成纯技术对抗问题防御深度伪造直觉是上检测工具。但报告的建议里流程和人的部分占了很大比重。怎么看检测工具的定位是辅助信号不是决策依据。真正兜底的是流程——关键操作的双通道确认、异常请求的强制复核、不追责的质疑机制。这几样东西不需要等检测技术成熟现在就能做而且成本很低。把资源全押在检测上、流程不改是这类风险里最常见也最贵的误判。7. 动荡期的站位把AI治理从文档变成资产台账读完这份预测最实在的收获不是那几条时间线而是它给了一个观察角度AI 带来的风险大头落在那些没人负责的中间层——管道、依赖、模型文件、代理通道。这些东西既不属于传统 IT 资产也不属于业务应用它们卡在中间安全团队看不见算法团队不觉得归自己管。从趋势上看接下来两三年会出现几个明确的分化。第一AI 安全厂商的竞争焦点会从“检测模型输出”转到“扫描 AI 供应链”因为客户现场那 1% 的感染率和数千个被污染的 notebook 是实打实的需求。第二模型市场会逐步把安全扫描作为标配第三方和开源模型下载时的扫描结果会变成采购决策的一部分这个变化对中小团队尤其重要因为他们没能力自建扫描。第三机密计算和数据管道深度检测会从“先进性投入”变成 AI 项目的默认配置因为数据外流的成本太高事后补救来不及。对安全管理者来说2025 年最该做的一件事是把 AI 治理从合规文档变成一份能实时回答问题的资产台账。它至少要能回答我们跑着多少个模型、它们从哪来、依赖了什么、哪些扫描过、哪些扫不了、谁负责。这份台账不需要多先进一个字段设计合理的表格加上定期更新机制就能起步关键是有人维护、有准入流程挂上去。对一线从业者来说技能的重心会往两个方向偏。一个是供应链侧的理解力——能看懂模型文件的结构、能判断依赖的风险、能设计准入检查另一个是人机协同的设计能力——知道哪些环节必须留人工、怎么设计抽样核查、怎么让代理的失败可回滚。这两个方向都不需要你成为算法专家但需要对流程有足够细的把握。对供应商侧的观察也值得记一笔。代理漂洗这个词在 2025 年会被反复验证——大量宣称全自动的产品会在真实环境里暴露出失败处理能力的缺失。选型时少看演示多看异常路径这个习惯能省下不少预算。落实到具体动作我给自己定了个检查顺序每次评估 AI 相关项目都走一遍# 项目评估前的四项固定检查概念示意非可直接执行脚本 # 1. 资产清单这个项目引入了哪些模型、notebook、依赖、管道 # 2. 扫描覆盖现有工具能不能扫这些资产扫不了的部分怎么补 # 3. 人工锚点哪些环节必须保留人工复核触发条件是什么 # 4. 回退路径出问题时怎么关停、影响范围多大、数据怎么回滚这四项里第二项最容易被跳过因为它需要你承认现有工具不够用。但那 1% 的感染率和数千个被污染的 notebook 说明承认这一点比维护一个好看的扫描报告有用得多。从那以后我每次看 AI 安全方案都强制先问一句“你们的资产清单里扫不了的那部分怎么标”答不上来的方案后面的演示我基本就不看了。希望帮到你。本文还有配套的精品资源点击获取