2025 AI安全预测：七成攻击来自供应链，治理要建资产台账

简介：面向安全与风险管理领导者、AI安全与软件供应链从业者的PDF材料，围绕Gartner对2025年网络安全趋势的判断展开，重点讨论生成式AI落地受挫、AI代理漂洗、应用安全组件库存薄弱以及深度伪造与自动化攻击升温等议题，帮助读者识别AI动荡期的新攻击面。包内仅含1个PDF文件，压缩包约215KB，篇幅精炼，便于快速通读、团队传阅或作为安全例会材料；目前已有90人学习。内容梳理了报告的关键发现与战略规划假设，包括到2025年超过70%针对企业AI的恶意攻击将源于软件供应链和基础设施技术栈中毒，并涉及2027年AI代理进一步自动化凭据窃取、缩短账号暴露利用时间等判断。同时给出审查应用安全实践、盘点AI软件供应链组件、优先推进成果驱动型AI计划、持续评估AI增强安全团队收益等建议，可作为制定年度安全优先级、排查AI管道风险与准备深度伪造防护的参考。

1. 2025 年的AI动荡期：一份预测报告把风险指向了别处

2025 年 2 月，一份面向安全与风险管理负责人的预测报告给出了一个不太符合直觉的判断：企业级 AI 面临的恶意攻击，主角不是模型越狱，也不是提示词注入，而是软件供应链和基础设施技术栈的中毒——报告给出的量化口径是，到 2025 年这类攻击占针对企业所用 AI 的恶意攻击七成以上。换句话说，风险的大头不在模型本身，而在模型周边那堆没人清点的东西。

这份材料同时给了另外三条时间线：到 2027 年，网络安全领域成功的 AI 落地有九成是任务自动化与流程增强，而非岗位替代；同一年，AI 代理会把凭据窃取和认证通道攻击进一步自动化，把账号暴露后的利用时间压缩一半；到 2028 年，四成社会工程攻击的目标从高管扩散到更广泛的员工群体，手段是深度伪造一类的伪造现实技术。四条假设拼在一起，是一张“AI 动荡期”的风险地图。

值得注意的是发布时点。报告明确写了早期生成式 AI 实验的失望情绪正在蔓延，安全团队对 GenAI 的信心被削弱，而供应商侧的“AI 代理漂洗”已经开始。一边是投入打了水漂的挫败感，一边是新一轮自动化承诺的轰炸，中间夹着真实的攻击面扩张。这个错位，才是这份预测最值得从业者读的地方。

2. 七成攻击来自供应链：被低估的AI资产清单问题

2.1 攻击者为什么选供应链：投入产出比决定了战场

报告里有一句判断很直白：攻击者传统上就把大部分攻击放在基础设施和供应链层面，除非他们有非常具体的攻击目标。原因不复杂——这是“最小投入换最大影响”的位置。打一个模型应用，你要绕过它的鉴权、它的输入过滤、它的日志告警；打它依赖的开源模型、它跑着的 notebook、它拉取数据的管道，你只需要在上游放一次毒，下游所有实例一起中招。

这个逻辑在 AI 场景里被放大了。传统软件供应链的组件边界相对清晰，SBOM、SCA 工具、镜像扫描这套东西虽然不完美，但至少有抓手。AI 供应链多出来的是数据科学那一层：模型权重文件、Jupyter Notebook、Python 依赖、训练和推理的数据管道。这些东西在很多组织里由业务团队或算法团队自行管理，安全团队既没有清单，也没有扫描工具，更没有准入流程。

从行业角度看，这就是典型的影子资产问题重演——十几年前的影子 IT，几年前的影子 API，现在轮到影子 AI 管道。区别在于，影子 IT 出事顶多是数据泄露，影子 AI 管道出事可能是模型被投毒后长期输出偏差结果，而这种污染很难在运行时被发现。

2.2 报告里的两个数字：1% 的模型与数千个被污染笔记本

这份材料给了两个来自客户现场的数字，比任何定性描述都有分量：专门做 AI 安全的厂商在客户站点定期扫描开源模型，反馈说最多有 1% 的开源模型被植入恶意软件；同时在客户现场发现了数千个被感染的 notebook。

1% 听起来不高，但基数太大了。一个中等规模的组织随手就能拉下来几十上百个开源模型做试验，1% 意味着个位数的中招概率；而模型一旦被加载，恶意代码就可能随着反序列化过程执行。notebook 的风险更直接——它本质上是可执行代码加数据，很多人把它当成文档在传阅和共享，实际上打开运行就是一次代码执行。

这里有个容易被忽略的细节：报告指出并非所有传统应用安全工具都已经进化到能对 AI 实体做漏洞扫描。也就是说，你以为覆盖了的扫描，很可能在 AI 组件这块是空的。团队拿着一份绿色的扫描报告，以为万事大吉，其实最危险的那部分根本没进扫描范围。这种“假性安全”比明知道没扫更危险，因为它会让人放松警惕。

# 概念示意：AI 资产清单的最小字段设计 ai_asset = { "asset_id": "unique-id", "type": "model | notebook | pipeline | dependency", # 资产类型决定后续扫描策略 "source": "internal | third_party | open_source", # 来源决定信任级别 "origin_url": "...", # 拉取地址，便于溯源与比对哈希 "hash": "sha256:...", # 内容指纹，检测篡改 "owner": "team-or-person", # 责任人，没有责任人的资产等于没人管 "scan_status": "scanned | not_supported | failed", # 关键：区分“扫过且干净”和“扫不了” "last_seen": "timestamp" }

上面这段不是可直接运行的代码，而是一个字段设计思路，重点在最后两个字段。scan_status必须能表达“扫描器不支持这类资产”这个状态，否则清单会骗人；last_seen用来清理僵尸资产，长期没被调用却还挂在环境里的模型和管道，是最典型的攻击入口。实际落地时，这套字段通常要跟现有的 CMDB 或资产平台对齐，而不是另起一套表格，否则三个月后就没人维护了。

2.3 数据管道配置错误：比逐个交易攻击更划算的目标

报告还点了一个具体攻击路径：攻击者利用用户对数据管道的错误配置，把敏感信息外流到犯罪服务器。原文的表述是，攻击数据管道比一次一个运行时交易地攻击更有“收成”。

这条在实战里很常见。数据管道连接着存储、计算和下游系统，权限往往是粗粒度的——为了让训练任务能跑，直接给一个宽权限的凭据；为了方便调试，把中间结果写到公开可读的存储桶；为了省事，把日志里带上完整的数据样本。这些配置在功能测试阶段不会暴露任何问题，只有在被主动探测时才会变成数据外流的通道。

对应到防御动作，报告的建议是升级或部署基础设施安全能力，包括机密计算和数据管道的深度检测。机密计算解决的是“运行中的数据处理过程不被宿主侧窥探”，深度检测解决的是“管道里流的是什么、流向哪里”。这两件事在传统安全预算里往往被归为“以后再说的先进性投入”，但当 AI 项目大规模上马、数据管道数量翻倍之后，它们会变成刚需。

2.4 从运行时转向供应链：TRiSM 的分层视角

报告给的第一条建议是先把 AI 应用的发现和清点流程建起来，然后把现有应用安全的最佳实践迁移到 AI 项目上。第二条建议更值得注意：对 AI 应用启动软件成分分析和漏洞评估项目，并且不要假设现有的基础设施安全与漏洞扫描工具已经正确处理了 AI 组件。

这两条背后是一个视角切换：过去几年安全团队在 AI 上的注意力大量放在运行时向量上——提示词注入、越界输出、模型滥用，这些当然重要，但它们的防守面窄。供应链和基础设施栈的防守面宽得多，一旦出事影响也大得多，只是它不在聚光灯下。

报告建议采用覆盖 TRiSM 全栈的分层方法，并部署 AI 治理工具持续评估所有 AI 资产的安全态势，尤其是来自软件供应链的那部分。这个思路对安全管理者的启示是：AI 治理不能只做合规文档，得能回答“我们现在跑着多少个模型、它们从哪来、依赖了什么、上次扫描结果如何”这几个具体问题。答不上来，治理就是纸面的。

3. 从生成式AI失望到代理炒作：九成落地是“任务增强”

3.1 只有 12% 拿到可测量结果，但热情没退

报告里那个数字很扎眼：安全与风险管理负责人对 GenAI 的潜力持谨慎乐观态度，但只有 12% 已经取得了可测量的成果。投入巨大、进展有限，可预期中的反弹并没有出现——报告自己也把这称为一个悖论。

解释这个悖论的关键在于“可测量”这三个字。安全团队的很多工作天然难以量化：告警降噪了多少、分析时间缩短了多少、误报率下降了多少，这些指标需要基线、需要对照组、需要统计周期，而这些恰恰是安全运营里最缺的基础设施。于是大量项目变成了“用了，感觉还行，但拿不出数”，这类项目在预算审查时最容易被砍。

从行业角度看，12% 这个比例不必解读为失败率，它更像是一个成熟度刻度。任何技术在进入组织的头两年，能拿出硬指标的都是少数，剩下的在摸索场景。真正需要警惕的是另一种情况：项目上了、钱花了、没人敢说没效果，最后变成沉默成本。

3.2 代理接近炒作顶峰，但成熟度还很低

报告引用了 2024 年的技术成熟度曲线判断：自主代理正接近期望膨胀期的顶峰，而到达稳定成熟期还需要 5 到 10 年。同时指出，尽管投入巨大，编排代理工作流的 GenAI 技术整体成熟度仍然偏低，还有一些基础性限制尚未解决。

这个判断和市场上看到的热度形成了明显反差。2025 年前后，从创业公司到大型平台都在宣称能自动化整个工作流，话术高度一致。报告用了“AI agent washing”这个词，可以理解为代理漂洗——把原本的规则引擎、脚本编排、RPA 重新包装成“AI 代理”，换个壳子涨价。

对从业者的现实意义是选型时的辨别成本变高了。判断一个所谓代理是不是真代理，看它失败时的行为：真代理在步骤失败后能重新规划路径，能在信息不足时主动追问，能把中间状态暴露出来供人干预；套壳产品在失败时只会报错退出，或者干脆静默跳过。这个测试不需要看架构图，跑几个异常场景就能看出来。

3.3 九成是战术落地：这个预测对预算分配意味着什么

到 2027 年，网络安全领域成功的 AI 实现有九成是战术性的——任务自动化和流程增强，而不是角色替代。这条预测如果成立，它对预算分配的含义非常直接：把钱花在能立刻观察到收益、且出问题容易回滚的单点任务上，比花在端到端转型项目上更划算。

报告举的例子是事件分析和漏洞优先级排序。后者有个数据支撑：2024 年的一项安全运营调研显示，只有 34% 的受访组织实现了自动化的漏洞优先级排序流程。也就是说，需求明确存在，渗透率却只有三分之一，这类场景就是典型的战术落地机会——边界清晰、输入输出可定义、效果可度量、失败可回退。

战术落地还有个隐性好处：它允许团队混合使用商业工具和私有部署的模型。端到端转型项目通常绑定单一供应商，而单点任务可以一个场景用商业 API、另一个场景用自建模型，按照数据敏感度和成本灵活切换。这种混搭在实践中的性价比往往更高，也让团队积累起对不同模型能力的真实体感。

提示：评估任何声称能替代岗位的方案时，先要求对方给出在你自己环境里的失败案例处理流程，而不是成功案例的演示。演示环境永远干净。

3.4 人工复核不是过渡方案，而是架构的一部分

报告的建议里有一条特别实在：在半自动化工作流中保留定期的人工验证，测试阶段做抽样核查，上线之后继续保持。另一条是在扩展试点中确定每个用例的自主性与控制权的平衡点，并对员工做代理交互和调试的培训。

这两条的价值在于它们否定了“先人机协同、后完全自动”这个线性叙事。现实中，人工复核不是等 AI 成熟了就能摘掉的拐杖，而是系统设计里必须长期保留的一环。原因在于误报的业务容忍度——安全运营的老教训是，检测做出来了，响应却跟不上，因为误报一旦触发业务中断，没人敢让它自动执行。

所以更合理的架构是：让 AI 做判断和排序，让人做执行和确认，中间用可审计的方式记录每一步。这套结构在短期内会显得效率不够极致，但它能活下来。反过来，追求全自动的方案往往在第一次误伤核心业务之后被整体关停，前面的投入全部归零。

4. AI代理加速账号接管：利用时间被压缩一半

4.1 ATO 攻击链的每一环都在被自动化

报告对账号接管的判断是：这仍是一个持续存在的攻击向量，弱凭据通过各种途径被收集——数据泄露、钓鱼、社会工程、恶意软件——然后攻击者用机器人对多个服务发起登录尝试，赌的是凭据复用。而 AI 代理会进一步自动化 ATO 杀伤链上的更多步骤，从基于深度伪造语音的社会工程，到端到端的凭据滥用自动化。

关键在于“更多步骤”这个词。过去的自动化集中在暴力尝试这一环，也就是拿到凭据之后的撞库阶段。现在被自动化的是前置环节：语音克隆降低电话诈骗的门槛，文本生成让钓鱼话术可以批量定制，信息收集让攻击者能快速拼出一个人的社交关系和工作习惯。前置环节的成本一旦降下来，攻击的绝对数量就会上去。

4.2 2027 年的 50%：这个数字该怎么读

到 2027 年，AI 代理会把凭据窃取和认证通信通道的破坏进一步自动化，把利用账号暴露所需的时间减少 50%。这个预测的重点不是“快了一倍”，而是“防御方的时间窗口被砍半”。

账号暴露到被利用之间的时间差，是整个账号安全体系赖以运转的基础。检测异常登录、触发二次验证、通知用户、临时锁定——这些动作都需要时间。窗口砍半意味着原来够用的响应链条会开始出现漏网，尤其是那些依赖人工介入的环节：值班人员看到告警、判断是否误报、走流程确认、联系用户。这套流程在小时级窗口下能跑通，在几十分钟级窗口下就会频繁失效。

从防御设计角度，这意味着响应必须往前移，从“事后检测”移到“事中阻断”和“事前降低可利用性”。具体来说，短时效凭据、设备绑定、行为基线这类东西的优先级会上升，因为它们不依赖人的反应速度。

4.3 带外MFA的脆弱性：短信、邮件与推送轰炸

报告点名了一类容易被当成“已解决”的风险：依赖带外通信通道的多因素认证同样脆弱，包括拦截通过短信或邮件发送的一次性验证码，以及推送轰炸——用大量推送提示淹没用户，直到用户屈服点确认。

推送轰炸这个手法在实战中效率极高，因为它利用的是人的疲劳而不是技术漏洞。凌晨三点连续几十条推送，多数人会点确认让手机安静下来。这类攻击没法靠加密解决，只能靠设计解决：限制推送频率、对异常时段的认证请求加严、把“拒绝”做成默认而不是需要主动操作。

短信和邮件的 OTP 问题更结构性。短信通道的安全边界在运营商侧，企业无从控制；邮件 OTP 则和账号本身的安全水平绑定，一旦邮箱沦陷，第二因素等于没有。报告提到 FIDO2 passkey 已被多数访问管理工具和部分大型消费服务支持，但终端组织和用户侧的采用进展缓慢，密码这类遗留凭据在可预见的未来仍会存在。

这个现实很无奈但必须接受：过渡期会很长，防御不能建立在“大家都用上 passkey”的假设上。合理的做法是分层——高价值账号强制强认证，普通账号至少做异常检测，同时对带外通道本身做加固和监控。

4.4 通信渠道与凭据安全要一起重新评估

报告给的建议是：预判新一波账号接管攻击，重新评估通信渠道和凭据安全，尤其是在半自动化和即将到来的 AI 代理架构下。

这句话把“通信渠道”和“凭据”并列，是有讲究的。很多组织的账号安全评估只做凭据侧——密码策略、MFA 覆盖率、权限回收，而通信渠道被默认为可信基础设施。但在 AI 代理参与之后，通信渠道本身成了攻击面：代理需要通过某种通道接收指令、回传结果、请求授权，这条通道如果鉴权不严，等于给攻击者开了一个拥有合法权限的入口。

所以在设计代理架构时，通道的身份认证、指令完整性校验、权限边界这三件事要在第一版就定下来，不能等出事再补。血泪经验是，这类架构补安全的成本远高于一开始就设计进去，因为后期改动要动所有已接入的代理。

5. 深度伪造下沉：四成社会工程攻击不再只盯高管

5.1 目标从高管扩散到全员，意味着什么

到 2028 年，四成社会工程攻击将不只针对高管，而是用深度伪造和其他伪造现实技术瞄准更广泛的员工群体。这条预测的方向性比数字更重要：它宣告了“高管专项防护”这个策略的失效。

过去几年企业对付深度伪造的思路是保护少数高风险个体——给高管做专项培训、约定内部暗号、限制公开的音视频素材。这套做法在目标集中时有效，因为资源可以集中投放。当目标扩散到全员，专项防护的边际效益就崩了：你没法给几千人做一对一的暗号约定，也没法控制每个员工在社交平台上留下的音视频痕迹。

更麻烦的是，普通员工面对深度伪造时的判断力天然更弱，而他们手里的权限却足以造成实际损失——财务付款、客户数据查询、系统配置变更。攻击者要的不是高管身份本身，是能触发某个操作的那个权限。

5.2 伪造现实的成本曲线与检测的滞后

报告提到诈骗内容已经可以大规模生成，伪造语音和深度伪造攻击正在成为有效的攻击向量。这背后是成本曲线的变化：生成一段逼真的语音，从过去需要专业设备和配音演员，变成几分钟和一点算力。

检测侧的处境则被动得多。伪造技术在进步，检测模型在追赶，这是一场没有终点的对抗。更现实的问题是，检测结果很少是确定的“真”或“假”，而是一个概率值，而业务决策需要的是确定答案。当一段语音的可信度是 70%，财务人员该不该付款？这个问题技术上无解，只能靠流程解。

所以报告的措辞值得注意：为潜在的新威胁做准备，但不要陷入恐慌，保持 AI 威胁情报能力，并针对已观察到的、有实际危害的深度伪造攻击调整防御。这句话的重点在“已观察到、有实际危害”——防御资源应该跟着实证走，而不是跟着新闻热度走。

5.3 从“识别真假”转向“验证身份”

面对伪造现实，一个逐渐被接受的思路转向是：不再试图判断内容真假，而是验证交互对端的身份真实性。这个转向在实践中有几个具体落点。

第一是把关键操作的身份验证从“知识型”和“ possession 型”往“强绑定型”迁移。声音、视频、外貌都属于可伪造的通道，不能作为身份依据；设备绑定、硬件密钥、带外回呼这些通道的伪造成本要高得多。

第二是建立操作层面的异常拦截。即便身份验证通过，一笔超出常规时间、常规金额、常规对象的付款请求，也应该触发额外的确认流程。这个流程的设计要点是确认动作必须走一条与原始请求不同的通道，否则攻击者控制了原通道就能一并伪造。

第三是给员工一个不丢脸的怀疑通道。血泪经验是，大部分社会工程攻击成功不是因为员工没看出来，而是因为看出来了但不好意思质疑上级的紧急请求。建立一条“核实不追责”的流程，比任何培训都管用。

5.4 威胁情报要“调参”，不能只订阅

报告建议保持 AI 威胁情报职能，并针对已观察到的、有危害的深度伪造攻击调整防御。这里的“调参”是关键词——威胁情报的价值不在于订阅了多少源，而在于能不能把情报转化成具体的检测规则和流程调整。

具体来说，如果你所在行业最近出现的是伪造供应商语音变更收款账户，那防御动作就该落在供应商信息变更的复核流程上；如果出现的是伪造内部指令要求紧急转账，那动作就落在紧急请求的验证通道上。情报到防御之间要有一条明确的转换路径，否则情报只是每周一份没人细看的报告。

6. 误判清单：这份预测最容易被读歪的五个地方

6.1 误判一：把七成供应链攻击理解成“模型不安全”

看到“七成恶意攻击来自供应链和技术栈中毒”，第一反应容易落到“开源模型不能用了”或者“得赶紧自研模型”。这个理解偏了。报告说的是攻击位置在供应链和基础设施栈，不是模型算法本身有缺陷。绝大多数中招不是因为模型有后门，而是因为模型文件被替换、notebook 被植入、依赖包被投毒、管道配置错误。

怎么看：防御重心应该放在资产清点、来源验证、完整性校验、准入流程上，而不是纠结用哪个模型。模型选型是业务问题，供应链安全是流程问题，两者不要混在一起讨论，否则会得出“换个模型就安全了”的错误结论。

6.2 误判二：把 12% 的可测量成果当作 GenAI 失败证据

12% 这个数字容易被拿来做两种极端解读：一种是“GenAI 就是泡沫”，另一种是“我们的项目没出数是因为行业都这样”。两种都懒。

怎么看：要区分“没有效果”和“没有度量”。大量安全 AI 项目卡在后者——效果可能有，但没有基线、没有对照组、没有统计口径，所以说不出来。真正该做的动作是给项目补度量设计，而不是急着下成败结论。同时也要承认，确实有一部分项目就是没效果，早停比硬撑好。

6.3 误判三：把“九成是战术落地”理解成“不需要战略”

90% 的成功案例是任务自动化和流程增强，这个预测经常被引用来论证“别做平台、别做转型、只做小工具”。这是一个危险的简化。

怎么看：战术落地和战略规划不冲突。战术落地解决的是单点效率和可回退性，战略解决的是这些单点怎么连成体系、数据怎么沉淀、能力怎么复用。只做战术，三年后你会发现手里有一堆互不相通的自动化脚本；只做战略，两年后你会发现预算烧完了还没上线。合理的配比是大部分资源投战术、小部分资源投能把战术串起来的基础设施。

6.4 误判四：把代理成熟度低当作“再等等”的理由

既然成熟期还要 5 到 10 年，那是不是可以先不投入？这个推理在技术演进快的领域经常翻车。

怎么看：等成熟再进场，等到的是别人已经踩完坑、定完标准、积累完数据的市场。合理的姿态是低成本试点加严格评估——用小范围的真实场景去试，用可测量的指标去评，重点是积累“什么场景不适合”的判断力。这种判断力没法通过看报告获得，只能自己试出来。

6.5 误判五：把深度伪造当成纯技术对抗问题

防御深度伪造，直觉是上检测工具。但报告的建议里，流程和人的部分占了很大比重。

怎么看：检测工具的定位是辅助信号，不是决策依据。真正兜底的是流程——关键操作的双通道确认、异常请求的强制复核、不追责的质疑机制。这几样东西不需要等检测技术成熟，现在就能做，而且成本很低。把资源全押在检测上、流程不改，是这类风险里最常见也最贵的误判。

7. 动荡期的站位：把AI治理从文档变成资产台账

读完这份预测，最实在的收获不是那几条时间线，而是它给了一个观察角度：AI 带来的风险，大头落在那些没人负责的中间层——管道、依赖、模型文件、代理通道。这些东西既不属于传统 IT 资产，也不属于业务应用，它们卡在中间，安全团队看不见，算法团队不觉得归自己管。

从趋势上看，接下来两三年会出现几个明确的分化。第一，AI 安全厂商的竞争焦点会从“检测模型输出”转到“扫描 AI 供应链”，因为客户现场那 1% 的感染率和数千个被污染的 notebook 是实打实的需求。第二，模型市场会逐步把安全扫描作为标配，第三方和开源模型下载时的扫描结果会变成采购决策的一部分，这个变化对中小团队尤其重要，因为他们没能力自建扫描。第三，机密计算和数据管道深度检测会从“先进性投入”变成 AI 项目的默认配置，因为数据外流的成本太高，事后补救来不及。

对安全管理者来说，2025 年最该做的一件事，是把 AI 治理从合规文档变成一份能实时回答问题的资产台账。它至少要能回答：我们跑着多少个模型、它们从哪来、依赖了什么、哪些扫描过、哪些扫不了、谁负责。这份台账不需要多先进，一个字段设计合理的表格加上定期更新机制就能起步，关键是有人维护、有准入流程挂上去。

对一线从业者来说，技能的重心会往两个方向偏。一个是供应链侧的理解力——能看懂模型文件的结构、能判断依赖的风险、能设计准入检查；另一个是人机协同的设计能力——知道哪些环节必须留人工、怎么设计抽样核查、怎么让代理的失败可回滚。这两个方向都不需要你成为算法专家，但需要对流程有足够细的把握。

对供应商侧的观察也值得记一笔。代理漂洗这个词在 2025 年会被反复验证——大量宣称全自动的产品会在真实环境里暴露出失败处理能力的缺失。选型时少看演示，多看异常路径，这个习惯能省下不少预算。

落实到具体动作，我给自己定了个检查顺序，每次评估 AI 相关项目都走一遍：

# 项目评估前的四项固定检查（概念示意，非可直接执行脚本） # 1. 资产清单：这个项目引入了哪些模型、notebook、依赖、管道 # 2. 扫描覆盖：现有工具能不能扫这些资产，扫不了的部分怎么补 # 3. 人工锚点：哪些环节必须保留人工复核，触发条件是什么 # 4. 回退路径：出问题时怎么关停、影响范围多大、数据怎么回滚

这四项里，第二项最容易被跳过，因为它需要你承认现有工具不够用。但那 1% 的感染率和数千个被污染的 notebook 说明，承认这一点比维护一个好看的扫描报告有用得多。

从那以后我每次看 AI 安全方案，都强制先问一句“你们的资产清单里，扫不了的那部分怎么标”，答不上来的方案，后面的演示我基本就不看了。希望帮到你。

本文还有配套的精品资源，点击获取