当AI成为薄弱环节：重新思考供应链安全

供应链攻击的演变

2020年，IT管理公司SolarWinds在不知情的情况下向数千家客户（包括主要政府机构和私营企业）发送了恶意代码。攻击者入侵了该公司的构建环境，将代码嵌入到广泛使用的网络监控平台Orion中。被污染的更新像正常更新一样发布，没有引发任何警报或立即恐慌，但却打开了近年来影响最深远的网络安全漏洞之门。

SolarWinds事件之所以影响巨大，不仅在于其技术复杂性，更在于其策略。通过针对受信任的供应商，攻击者绕过了传统安全边界，通过软件供应链本身获得访问权限。这一事件提醒世界：即使是最安全的系统，如果供应链中的一个环节受损，也会变得脆弱。

AI如何悄然成为供应链风险

AI引入供应链漏洞已不仅是理论担忧，而是正在发生的事实，且往往在造成损害后才容易被发现。

研究机构最早发出警告。2022年和2023年，MIT和伯克利等机构的研究表明，机器学习模型（尤其是开源模型）在训练过程中可能被故意投毒。模型在日常使用中可能看起来完全正常，但在特定条件下，它可能打开后门、泄露数据或导致系统故障。如果组织在不知情的情况下引入这些受损模型，实际上就是通过他们信任的依赖项邀请攻击者进入其环境。

风险不仅限于完整模型。攻击者还针对AI的基础构建块。2023年，Checkmarx的安全研究人员发现恶意软件包被上传到PyPI等热门开源仓库。这些软件包伪装成有用的机器学习工具，但隐藏了远程访问工具和数据窃取机制。开发人员在AI项目中下载这些软件包时，会在不知情的情况下损害自己的系统。这是供应链妥协，只是戴着不同的面具。

即使不构建自己的AI模型的公司也不安全。如今，许多组织接入外部AI API，用于从欺诈检测到客户服务自动化等各个方面。这些API通常被视为受信任的黑匣子：有用、快速且深度集成到业务流程中。但如果这些提供商之一受到损害、被操纵或甚至只是安全性较差，它可能成为通往每个依赖它的客户组织的直接通道。这里的风险足够真实，OWASP的AI安全指南现在警告组织将外部AI API视为关键第三方风险，需要与传统供应商相同级别的审计和监控。

综合来看，证据描绘了一幅清晰的图景：AI正更深地融入供应链的结构中。如果没有适当的安全控制，它正成为一个新的、被危险地忽视的攻击面。

组织如何加强AI供应链安全

现实是，组织不会停止使用AI。相反，他们正将其更深地融入运营中。目标不是撤退，而是以更谨慎的态度前进，拥有更好的检查、更强的防护栏和对真实风险所在更清晰的理解。

首先，公司需要以与其他第三方依赖相同的方式对待AI集成——在证明其安全之前保持怀疑。这意味着在引入外部AI模型、工具或服务之前进行全面审查。仅因为某物是开源的、广泛使用的或由知名提供商提供就假设其安全是不够的。审查模型的来源，仔细检查其训练的数据源，如果可能，在生产环境中部署之前对其进行安全测试。

其次，组织应加强其开发和部署流水线。这包括不仅为传统软件使用软件物料清单（SBOM），也为AI组件使用。确切知道系统中嵌入了哪些模型、数据集和库——并跟踪随时间的变化——使得恶意更新或投毒模型更难被 unnoticed 地溜进来。

第三，需要真正谨慎地对待API集成。不应给予外部AI服务无限制地访问关键系统的深度权限。实施严格的访问控制，监控API流量中的异常，并准备在外部服务开始行为异常时切断连接。这是关于假设即使受信任的合作伙伴也可能受到损害——并构建快速响应的能力。

第四，组织需要将威胁检测和监控扩展到包括AI行为。这意味着建立系统，能够发现AI模型突然开始以非其预期功能的方式行为。意外输出、异常数据请求、奇怪的错误模式——这些可能是篡改或损害的早期警告信号。

最后，这归结为心态。AI不仅是提高生产力或客户参与度的闪亮工具——它现在是你攻击面的一部分。安全团队、采购团队、开发人员和高管都需要对齐这一现实。那些现在将AI风险管理融入更广泛网络安全战略的组织，在这些威胁变得更加常见时——而不是如果——将处于更强大的位置。

结论

供应链本不应是战场。它本应是基础。但像SolarWinds这样的攻击打破了这种幻觉，迫使组织重新思考他们对所依赖的工具、供应商和服务的信任深度。现在，AI正在为这一挑战增加新的一层。

我们将人工智能越深入地嵌入日常运营，从关键基础设施到客户服务，我们就越在不知不觉中扩大基础的裂缝。AI不再仅仅是一个工具；它是一种依赖，伴随着这种依赖而来的是真实、可衡量的风险。受损的模型、被投毒的软件包和脆弱的API不是遥远的可能性，而是已经隐藏在显而易见之处的风险。

无法将精灵放回瓶子里。组织将继续拥抱AI，因为好处是真实的。但信任不能是盲目的。保护AI供应链意味着提出更困难的问题，要求更多的透明度，验证内部结构，并构建假设没有组件免疫于损害的系统。

下一个重大的供应链攻击可能不会通过软件更新而来。它可能通过模型、API或深埋在机器学习流水线中的软件包溜进来。那些现在认识到这一点并采取行动的组织，将是最准备好面对即将到来的一切的组织。