前沿 | 人工智能供應(yīng)鏈安全風(fēng)險分析與防護體系構(gòu)建

鄭 興

文 | 騰訊朱雀實驗室負(fù)責(zé)人 鄭興；北京大學(xué) 王濱 劉澤心；騰訊朱雀實驗室安全專家 伍惠宇；清華大學(xué)教授 江勇*

當(dāng)前，我國人工智能產(chǎn)業(yè)已然步入規(guī)?；l(fā)展的全新階段。中國政府網(wǎng)公開數(shù)據(jù)顯示，截至2025年7月，國內(nèi)人工智能大模型的數(shù)量已經(jīng)突破1500個，廣泛地覆蓋了政務(wù)、金融、醫(yī)療等諸多關(guān)鍵領(lǐng)域；2025年8月，國務(wù)院印發(fā)的《關(guān)于深入實施“人工智能+”行動的意見》將“人工智能+安全”列為重點任務(wù)，在推動技術(shù)創(chuàng)新與產(chǎn)業(yè)融合之際，要構(gòu)建起堅實的安全防護屏障。人工智能的安全保障范疇已不再局限于算法模型自身，而是延伸到了支撐其運行的全鏈條基礎(chǔ)設(shè)施供應(yīng)鏈——從底層的硬件芯片、算力框架，到中間層的數(shù)據(jù)服務(wù)、工具組件，再到上層的應(yīng)用集成，供應(yīng)鏈各個環(huán)節(jié)的安全漏洞都有可能引發(fā)系統(tǒng)性風(fēng)險，甚至對關(guān)鍵信息基礎(chǔ)設(shè)施安全與公共利益構(gòu)成威脅。然而，目前人工智能供應(yīng)鏈安全防護問題依然嚴(yán)峻，全球人工智能基礎(chǔ)設(shè)施供應(yīng)鏈呈現(xiàn)出“全球化采購+本地化部署”的復(fù)雜格局，現(xiàn)有的安全檢測工具大多缺少對“硬件層—軟件層—服務(wù)層”全鏈條的覆蓋能力。對此，研發(fā)針對人工智能基礎(chǔ)設(shè)施供應(yīng)鏈的一體化安全檢測體系，成為破解“重發(fā)展、輕防護”困境的關(guān)鍵。

一、人工智能供應(yīng)鏈存在的安全風(fēng)險

人工智能基礎(chǔ)設(shè)施構(gòu)建包含硬件基礎(chǔ)、軟件棧支撐以及運行服務(wù)集成等多個維度，其供應(yīng)鏈安全問題貫穿于“硬件層—軟件層—服務(wù)層”全鏈條，此類架構(gòu)在提高產(chǎn)業(yè)效率的同時，也讓供應(yīng)鏈安全風(fēng)險呈現(xiàn)出“單點突破”與“全鏈傳導(dǎo)”的特點。

（一）硬件層：核心組件的后門威脅與物理級漏洞

硬件作為人工智能系統(tǒng)的物理承載，其安全性直接構(gòu)成整個供應(yīng)鏈信任體系的基石。以圖形處理器芯片、存儲芯片以及邊緣推理處理器等為代表的關(guān)鍵硬件器件，在產(chǎn)業(yè)組織格局上呈現(xiàn)出設(shè)計高度集中、制造跨國分散的特征。加之系統(tǒng)性審計難度較大，硬件本身具有一定的黑箱屬性，致使后門植入與物理級漏洞成為人工智能供應(yīng)鏈安全的核心風(fēng)險所在。

一是后門威脅與地緣政治風(fēng)險。硬件后門一般表現(xiàn)為芯片設(shè)計階段植入的隱蔽控制邏輯或制造環(huán)節(jié)添加的惡意固件，可依靠遠(yuǎn)程指令觸發(fā)機制，實現(xiàn)數(shù)據(jù)竊取或功能破壞。2025年7月，國家互聯(lián)網(wǎng)信息辦公室約談多個國外廠商，要求其就人工智能算力芯片中存在的潛在安全風(fēng)險作出說明并限期整改。該事件凸顯了在國際博弈背景下，硬件信任問題的嚴(yán)峻性。此類后門檢測難度極大，例如，芯片核心模塊封裝于片上系統(tǒng)（SoC）內(nèi)部，關(guān)鍵驅(qū)動與固件均為閉源。一旦后門被激活，攻擊者不僅可竊取敏感的模型參數(shù)、篡改訓(xùn)練數(shù)據(jù)與結(jié)果，甚至可能遠(yuǎn)程操控大規(guī)模算力集群，對國家關(guān)鍵信息基礎(chǔ)設(shè)施構(gòu)成“釜底抽薪”式的系統(tǒng)性安全威脅。

二是物理級漏洞與算力失控。除了蓄意后門外，硬件設(shè)計缺陷導(dǎo)致的物理級漏洞可能引發(fā)算力資源的“不可控使用”風(fēng)險——算力設(shè)施雖然在物理上由組織擁有和部署，但由于底層硬件漏洞的存在，其計算結(jié)果的準(zhǔn)確性、可信度以及資源調(diào)度的自主性實際上已不受組織完全控制，導(dǎo)致“有其形而失其實”的失控狀態(tài)。2025年7月，多倫多大學(xué)的研究團隊首次披露圖形處理器（GPU）上可實證的RowHammer變體——“GPUHammer”漏洞，其技術(shù)原理是依靠反復(fù)高速訪問GPU顯存某一行，引發(fā)鄰近行的電干擾，導(dǎo)致數(shù)據(jù)位翻轉(zhuǎn)，篡改人工智能模型權(quán)重。這類物理級攻擊導(dǎo)致的“算力失控”主要體現(xiàn)在兩個層面：首先，計算結(jié)果失控，漏洞攻擊驗證表明，僅需一次比特翻轉(zhuǎn)，就能將圖像分類模型（ImageNet）的準(zhǔn)確率從80%大幅降至0.1%；其次，資源隔離失控，在云端共享GPU平臺中，攻擊者可利用該漏洞實施跨租戶攻擊，僅憑借顯存干擾就能操控鄰近任務(wù)的推理結(jié)果，組織無法確保其購買和使用的算力單元處于安全隔離狀態(tài)。這將對自動駕駛、金融風(fēng)控等高精度要求場景造成致命影響。

三是供應(yīng)鏈全球化存在風(fēng)險。在中國人工智能基礎(chǔ)設(shè)施的范疇內(nèi)，全球化所帶來的供應(yīng)鏈風(fēng)險主要呈現(xiàn)為對高端芯片、關(guān)鍵硬件以及上游原材料的高度依賴，若因地緣政治沖突、出口管制或者國際制裁致使這些關(guān)鍵環(huán)節(jié)出現(xiàn)中斷情況，則可能導(dǎo)致人工智能算力平臺、數(shù)據(jù)中心部署等基礎(chǔ)設(shè)施無法依照計劃向前推進。同時，全球供應(yīng)鏈多點故障（如運輸瓶頸、原料稀缺等狀況）同樣會引發(fā)系統(tǒng)性風(fēng)險，對整體的安全與穩(wěn)定性產(chǎn)生影響。

（二）軟件層：開源生態(tài)依賴下的漏洞傳導(dǎo)與供應(yīng)鏈污染

開源框架已然成為人工智能軟件生態(tài)的核心支柱，構(gòu)建起了一套“訓(xùn)練框架—中間件—依賴庫”緊密相連、協(xié)同發(fā)展的復(fù)雜技術(shù)體系，常見人工智能應(yīng)用所使用的開源組件大多未曾經(jīng)歷全面的安全審計，導(dǎo)致軟件層成為漏洞傳導(dǎo)的主要承載主體。

一是核心框架漏洞與大規(guī)模攻擊方面。人工智能算力以及分布式計算框架乃是軟件層的“中樞神經(jīng)”，其存在的漏洞有可能引發(fā)一系列廣泛的連鎖反應(yīng)，例如，開源分布式計算框架（Ray）所公開的漏洞CVE-2023-48022長期處于存在爭議且未完全修復(fù)的狀態(tài)。安全研究人員報告了針對大量分布式計算節(jié)點的主動利用與攻擊行為，這類漏洞可致使遠(yuǎn)程代碼得以執(zhí)行、集群調(diào)度被篡改以及敏感憑證泄露，對依賴分布式訓(xùn)練與推理的企業(yè)造成嚴(yán)重的影響。

二是應(yīng)用框架代碼執(zhí)行風(fēng)險方面。面向開發(fā)者的人工智能應(yīng)用框架由于功能繁雜、接口開放，成為漏洞高發(fā)區(qū)域。以LangChain為例，其組件LLMMathChain曾經(jīng)因為缺少對“```python”標(biāo)記后代碼的過濾，直接交由PythonREPL執(zhí)行，結(jié)果導(dǎo)致攻擊者可借助提示詞工程誘導(dǎo)模型輸出惡意代碼，實現(xiàn)服務(wù)器文件讀取以及命令執(zhí)行。類似的風(fēng)險在LlamaIndex、pandas-ai等同類框架中普遍存在，根源在于設(shè)計沒有遵循“最小權(quán)限原則”，將用戶輸入與代碼執(zhí)行邏輯直接關(guān)聯(lián)在一起，并且缺少輸入驗證與沙箱隔離機制。

三是依賴鏈污染與供應(yīng)鏈級風(fēng)險方面。人工智能軟件的“多層依賴”特性致使漏洞可借助依賴鏈級聯(lián)傳導(dǎo)，形成“供應(yīng)鏈污染”。更為隱蔽的攻擊方式是“惡意依賴替換”，例如，偽造容器化服務(wù)（Docker）鏡像或者借助注冊表代理篡改鏡像層摘要，植入惡意組件，在GPU推理過程中竊取張量數(shù)據(jù)，企業(yè)對于開源組件管理存在的缺陷放大了風(fēng)險：多數(shù)人工智能企業(yè)沒有建立開源組件全生命周期管理機制，存在“版本混用”“依賴未鎖定”“鏡像緩存滯后”等問題，導(dǎo)致攻擊者可依靠不同漏洞實施組合攻擊。

（三）服務(wù)層：集成鏈路脆弱性與運行態(tài)攻擊

服務(wù)層作為人工智能系統(tǒng)與用戶以及外部系統(tǒng)進行交互的關(guān)鍵“窗口”，其中包含了模型服務(wù)化、應(yīng)用程序編程接口（API）調(diào)用以及第三方數(shù)據(jù)對接等多個環(huán)節(jié)，由于該層級接口處于開放狀態(tài)且數(shù)據(jù)流較為復(fù)雜，成為攻擊者重點關(guān)注的目標(biāo)，風(fēng)險呈現(xiàn)出“多樣化、場景化”的特征。

一是惡意軟件與模型資產(chǎn)竊取。針對運行態(tài)人工智能系統(tǒng)的惡意攻擊正逐漸朝著專業(yè)化、系統(tǒng)化方向發(fā)展，形成“滲透—竊取—變現(xiàn)”的完整攻擊鏈。與傳統(tǒng)惡意軟件主要竊取通用數(shù)據(jù)或計算資源不同，針對人工智能基礎(chǔ)設(shè)施的新型惡意軟件將模型權(quán)重、訓(xùn)練數(shù)據(jù)等核心知識產(chǎn)權(quán)作為主要攻擊目標(biāo)。以近期披露的ShadowInit惡意軟件為例，其攻擊鏈條包括三個關(guān)鍵環(huán)節(jié)。首先，初始滲透階段，攻擊者利用人工智能開發(fā)環(huán)境的安全薄弱點獲取訪問權(quán)限。ShadowInit通過濫用廣泛共享但未固定版本的交互式訓(xùn)練文檔（Jupyter Notebook）植入惡意依賴，或者偽造容器鏡像注入內(nèi)核探針等方式，成功滲透GPU集群、模型服務(wù)網(wǎng)關(guān)以及編排管道。其次，模型資產(chǎn)竊取與篡改階段，攻擊者在獲得系統(tǒng)訪問權(quán)限后實施核心攻擊。與早期加密貨幣挖礦攻擊不同，ShadowInit旨在竊取專有模型權(quán)重并悄然操縱推理輸出，對下游應(yīng)用造成破壞。例如，某制造企業(yè)的視覺檢測模型遭到篡改后，安全關(guān)鍵缺陷分類出現(xiàn)錯誤，導(dǎo)致裝配線停機，造成嚴(yán)重經(jīng)濟損失。最后，地下市場變現(xiàn)階段，被竊取的模型權(quán)重在暗網(wǎng)論壇以低價交易，使攻擊者能夠以極低成本制作高度逼真的釣魚內(nèi)容或微調(diào)競爭模型，造成長期的殘留威脅，加劇企業(yè)核心技術(shù)資產(chǎn)的流失。這一完整攻擊鏈說明，運行態(tài)人工智能系統(tǒng)面臨的威脅已從簡單的資源濫用演變?yōu)獒槍π缘闹R產(chǎn)權(quán)竊取與業(yè)務(wù)破壞，需要部署運行時權(quán)重完整性驗證等專門防護機制。

二是接口防護缺失與未授權(quán)訪問。倘若人工智能服務(wù)的API缺乏統(tǒng)一的安全規(guī)范，例如，強身份驗證、令牌管理以及輸入/輸出審查等方面，則很容易被不法分子濫用或者借助暴力手段破解。另外，在默認(rèn)配置情況下將模型服務(wù)端口直接暴露在公網(wǎng)的做法，也會導(dǎo)致越權(quán)或者未授權(quán)訪問事件的發(fā)生。

三是第三方依賴與供應(yīng)鏈級風(fēng)險。服務(wù)層對于云服務(wù)以及第三方數(shù)據(jù)源的依賴，會擴大攻擊的范圍，典型的案例就是微軟人工智能團隊在GitHub倉庫中意外暴露了有過度權(quán)限的共享訪問令牌（SAS），導(dǎo)致數(shù)十TB的內(nèi)部數(shù)據(jù)被外部人員訪問。近期爆發(fā)的LiteLLM供應(yīng)鏈投毒事件同樣是典型教訓(xùn)，攻擊者通過污染其CI/CD流程植入惡意代碼，導(dǎo)致大量開發(fā)者的API密鑰與云環(huán)境憑證瞬間泄露。這些事件充分說明，人工智能模型所依賴的云平臺與開源組件如果在權(quán)限管理或代碼審查方面存在漏洞，則極易引發(fā)數(shù)據(jù)泄露以及模型訓(xùn)練“輸入污染”的問題，對推理的準(zhǔn)確性構(gòu)成嚴(yán)重威脅。

在人工智能供應(yīng)鏈中，硬件、軟件以及服務(wù)之間相互關(guān)聯(lián)，緊密相連，任何一個環(huán)節(jié)出現(xiàn)風(fēng)險都會沿著“硬件層—軟件層—服務(wù)層”這條鏈條進行傳導(dǎo)，同時還會與其他層級的風(fēng)險相互疊加并放大。這種“多層聯(lián)動”的特性，使得僅僅關(guān)注單一環(huán)節(jié)的“點式防護”毫無作用，需要構(gòu)建起覆蓋全鏈路的一體化安全防護體系，才可有效地抵御風(fēng)險。

二、人工智能供應(yīng)鏈安全防護體系構(gòu)建

基于上述針對人工智能供應(yīng)鏈“硬件層—軟件層—服務(wù)層”風(fēng)險所開展的系統(tǒng)剖析，本節(jié)著重關(guān)注現(xiàn)有的應(yīng)對途徑以及行業(yè)實踐情況，依據(jù)相關(guān)證據(jù)，以問題為導(dǎo)向，對治理、技術(shù)以及產(chǎn)業(yè)層面的主要方案進行評價，并針對有代表性的工具給出客觀的評價。當(dāng)前所采取的對策可歸納為三條同時推進的主線：其一，借助制度與標(biāo)準(zhǔn)化建設(shè)來構(gòu)建治理框架；其二，針對不同層級采取工程技術(shù)對策，以此降低風(fēng)險暴露面；其三，借助開源與商用工具達(dá)成檢測、響應(yīng)以及復(fù)原的可運維能力。

（一）治理與標(biāo)準(zhǔn)：從政策導(dǎo)向至合規(guī)基線

國家以及行業(yè)層面在治理方面所做出的努力，為供應(yīng)鏈安全奠定了頂層設(shè)計基礎(chǔ)并確立了合規(guī)基線。在國際領(lǐng)域，美國國家標(biāo)準(zhǔn)與技術(shù)研究院（NIST）的《人工智能風(fēng)險管理框架》為各組織識別、評估以及管理人工智能風(fēng)險提供了通用的風(fēng)險管理邏輯，該邏輯強調(diào)生命周期管理以及跨職能協(xié)同，此框架已成為各類組織構(gòu)建人工智能風(fēng)險治理體系的關(guān)鍵參考依據(jù)。在國內(nèi)，我國近年來陸續(xù)出臺了關(guān)于《生成式人工智能服務(wù)管理暫行辦法》《國家人工智能產(chǎn)業(yè)綜合標(biāo)準(zhǔn)化體系建設(shè)指南（2024版）》《關(guān)于深入實施“人工智能+”行動的意見》等文件，這些文件逐漸將人工智能安全納入產(chǎn)業(yè)政策以及監(jiān)管軌道，提出了分類分級監(jiān)管、合規(guī)評估以及安全能力建設(shè)等要求。一方面，制度與標(biāo)準(zhǔn)的推進，可在制度層面約束高風(fēng)險行為，明確分級責(zé)任，并推動檢測與報告機制的建立。另一方面，標(biāo)準(zhǔn)制定與修訂的速度大多時候跟不上技術(shù)與威脅態(tài)勢的變化，而且制度本身難以直接解決硬件后門、物理級攻擊等技術(shù)性問題，需要與工程手段協(xié)同實施才能發(fā)揮實際作用。

（二）工程與技術(shù)對策：分層的技術(shù)路線

技術(shù)對策需要依據(jù)不同層級的風(fēng)險采用差異化的策略。在硬件層面，應(yīng)當(dāng)優(yōu)先實施可信鏈以及完整性驗證，在共享算力的場景下采用硬件糾錯碼、系統(tǒng)級內(nèi)存校驗等緩解手段，以此降低物理級故障或者干擾所帶來的影響，這在最近針對GPU的Rowhammer變體研究以及廠商的響應(yīng)中得到充分印證。研究表明，GPU顯存可被用來實現(xiàn)比特翻轉(zhuǎn)，對模型權(quán)重或者推理結(jié)果進行篡改，廠商基于此建議啟用硬件糾錯碼以及系統(tǒng)級補償策略。

軟件供應(yīng)鏈與依賴治理層面更側(cè)重于可見性與可控性的手段：構(gòu)建軟件組成清單、對容器鏡像以及第三方包實施簽名與鏡像校驗、在持續(xù)集成/持續(xù)交付（CI/CD）中嵌入依賴掃描與安全檢查、對常見人工智能框架的快速響應(yīng)與補丁機制。實踐說明，分布式框架與應(yīng)用層框架（如Ray、LangChain、LlamaIndex等）曾出現(xiàn)過被主動利用的重大漏洞，這些事件表明，要把依賴鏈治理和流水線前置檢測當(dāng)作常態(tài)化工作。

服務(wù)層暴露出了新的攻擊面，在服務(wù)層中，例如，模型上下文協(xié)議（Model Context Protocol）及類似協(xié)議雖然簡化了模型與外部數(shù)據(jù)源、工具的集成，但也存在認(rèn)證、授權(quán)與隔離的復(fù)雜性問題。業(yè)界對模型上下文協(xié)議的安全性、身份管理以及最小權(quán)限實踐一直保持著關(guān)注，針對運行時的防護，要在網(wǎng)絡(luò)隔離、多租戶隔離、行為基線檢測與API訪問控制上進行精細(xì)化設(shè)計，并結(jié)合實時日志審計與威脅情報實現(xiàn)由檢測到響應(yīng)的閉環(huán)。

從方法論角度看，上述技術(shù)對策應(yīng)基于“縱深防御”理念，通過制度與標(biāo)準(zhǔn)界定安全邊界、明確合規(guī)要求；依托工程技術(shù)與部署實踐，構(gòu)建多層緩解機制；結(jié)合運行時監(jiān)測與威脅情報，賦予系統(tǒng)動態(tài)檢測能力。三者協(xié)同作用，方能有效提升供應(yīng)鏈的整體韌性。

（三）產(chǎn)業(yè)實踐與工具：多元化檢測平臺的發(fā)展現(xiàn)狀

當(dāng)前，人工智能供應(yīng)鏈安全檢測工具呈現(xiàn)出“開源與商用并行、專業(yè)化與平臺化融合”的發(fā)展態(tài)勢。各類機構(gòu)基于自身技術(shù)積累與應(yīng)用場景，推出了涵蓋不同層級、針對不同風(fēng)險類型的檢測解決方案，為行業(yè)提供了多樣化的技術(shù)選擇。

一是開源檢測平臺的興起與特點。開源社區(qū)正在成為人工智能供應(yīng)鏈安全檢測的核心創(chuàng)新力量。以騰訊朱雀實驗室推出的AI Infra Guard為例，其定位為“綜合、智能、易用的人工智能紅隊平臺”，集成人工智能基礎(chǔ)設(shè)施漏洞掃描、MCP服務(wù)器風(fēng)險掃描、越獄評估等功能模塊；支持對三十余種人工智能框架進行指紋識別，并提供輕量化命令行接口，便于企業(yè)將檢測能力融入既有安全流程。與之相近的開源項目還包括開源軟件安全基金會（OpenSSF）的Scorecards，其以自動化檢查評估開源項目的安全風(fēng)險；Aqua Security的Trivy，用于容器鏡像漏洞掃描。此類工具以標(biāo)準(zhǔn)化與自動化降低了中小企業(yè)的技術(shù)門檻，顯著推動供應(yīng)鏈安全檢測的普及與落地。

二是商用解決方案的專業(yè)化發(fā)展。商用檢測平臺在深度專業(yè)化與企業(yè)級服務(wù)能力方面具備優(yōu)勢。傳統(tǒng)應(yīng)用安全廠商如Checkmarx、Veracode等開始擴展其靜態(tài)/動態(tài)應(yīng)用安全測試（SAST/DAST）產(chǎn)品線，將人工智能應(yīng)用的代碼安全檢測納入覆蓋范圍；新興的人工智能安全初創(chuàng)公司則專注于模型層面的安全風(fēng)險，提供對抗攻擊檢測、模型偏見識別等專業(yè)化服務(wù)。國內(nèi)方面，很多傳統(tǒng)網(wǎng)絡(luò)安全廠商也正將人工智能安全檢測融入其現(xiàn)有產(chǎn)品體系，推出面向企業(yè)級用戶的綜合性解決方案。商用工具的優(yōu)勢在于提供專業(yè)技術(shù)支持、定制化開發(fā)與合規(guī)報告生成，但其局限性在于采購成本較高、可能存在廠商技術(shù)棧綁定問題。

三是云平臺集成化趨勢。主流云服務(wù)商正將人工智能供應(yīng)鏈安全檢測作為平臺能力予以集成。亞馬遜云服務(wù)（AWS）的Inspector、微軟云服務(wù)（Azure）的Security Center等服務(wù)，均新增了對人工智能工作負(fù)載的安全檢測支持，實現(xiàn)了從基礎(chǔ)設(shè)施到應(yīng)用層的統(tǒng)一監(jiān)控。這種“云原生”的檢測模式具備部署便捷、與云服務(wù)深度集成的優(yōu)勢，但也存在廠商鎖定風(fēng)險與跨云環(huán)境兼容性問題。

四是行業(yè)實踐的典型模式與挑戰(zhàn)。從實際應(yīng)用效果看，當(dāng)前產(chǎn)業(yè)實踐呈現(xiàn)出“分層部署、重點防護”的典型模式：大型科技企業(yè)多采用“自研+開源”組合方式，基于開源工具構(gòu)建內(nèi)部安全檢測平臺，并針對業(yè)務(wù)特點開發(fā)定制化檢測規(guī)則；傳統(tǒng)企業(yè)則傾向于采購成熟的商用解決方案，注重與現(xiàn)有信息技術(shù)（IT）基礎(chǔ)設(shè)施的兼容性；中小企業(yè)主要依賴云服務(wù)商提供的集成化安全服務(wù)，追求快速部署與低維護成本。

三、結(jié)論與展望

在人工智能產(chǎn)業(yè)呈現(xiàn)出高速發(fā)展態(tài)勢的同時，“人工智能+”行動也在不斷深入推進，在此背景下，供應(yīng)鏈安全成為保障人工智能技術(shù)順利落地以及產(chǎn)業(yè)實現(xiàn)健康發(fā)展的“生命線”。本文通過對人工智能基礎(chǔ)設(shè)施供應(yīng)鏈安全風(fēng)險的系統(tǒng)梳理，明確了“硬件層—軟件層—服務(wù)層”全鏈路風(fēng)險傳導(dǎo)邏輯。硬件層的核心組件存在漏洞以及后門風(fēng)險，這構(gòu)成了安全防護的底層短板；軟件層開源生態(tài)存在漏洞傳導(dǎo)以及合規(guī)問題，形成了風(fēng)險擴散的關(guān)鍵路徑；服務(wù)層存在集成缺陷以及外部攻擊風(fēng)險，這直接對人工智能應(yīng)用的穩(wěn)定運行以及數(shù)據(jù)安全構(gòu)成威脅。這三個層面的風(fēng)險相互疊加，使得傳統(tǒng)的單點防護模式難以應(yīng)對復(fù)雜的供應(yīng)鏈安全挑戰(zhàn)。

人工智能供應(yīng)鏈安全已超越傳統(tǒng)信息安全范疇，成為關(guān)乎技術(shù)主權(quán)、產(chǎn)業(yè)韌性與國家戰(zhàn)略安全的核心議題。隨著大模型規(guī)?；渴鸺铀?、“人工智能+”深度融入關(guān)鍵基礎(chǔ)設(shè)施，供應(yīng)鏈的復(fù)雜性、開放性與攻擊面將持續(xù)擴大。未來，防護體系的構(gòu)建不能停留在被動響應(yīng)或局部加固，而是要以“全鏈路韌性”為目標(biāo)，推動從技術(shù)架構(gòu)、產(chǎn)業(yè)協(xié)同到治理規(guī)則的系統(tǒng)性升級。安全能力必須深度內(nèi)嵌于供應(yīng)鏈的技術(shù)演進中。在硬件層面，應(yīng)加快構(gòu)建覆蓋設(shè)計、制造、驗證全環(huán)節(jié)的可信機制，推動國產(chǎn)芯片與安全標(biāo)準(zhǔn)的同步發(fā)展，探索基于硬件指紋、運行時完整性度量等手段的動態(tài)信任鏈；在軟件層面，亟須改變對開源生態(tài)“拿來即用”的慣性，建立覆蓋依賴識別、漏洞追蹤、鏡像簽名與自動修復(fù)的全生命周期治理能力，尤其要將安全左移至持續(xù)集成/持續(xù)交付（CI/CD）流程前端，實現(xiàn)風(fēng)險早發(fā)現(xiàn)、早阻斷；在服務(wù)層面，則需將零信任架構(gòu)、最小權(quán)限原則與行為基線檢測融入模型即服務(wù)（MaaS）的運行環(huán)境，防范API濫用、跨租戶攻擊與第三方依賴引發(fā)的級聯(lián)風(fēng)險。

單點防御已無法應(yīng)對跨層傳導(dǎo)的復(fù)合型威脅，必須推動產(chǎn)業(yè)級協(xié)同。建議由行業(yè)主管部門牽頭，聯(lián)合芯片廠商、云服務(wù)商、開源社區(qū)與人工智能應(yīng)用企業(yè)，共建人工智能供應(yīng)鏈安全風(fēng)險數(shù)據(jù)庫與共享響應(yīng)機制，統(tǒng)一關(guān)鍵組件的安全基線與檢測規(guī)范。鼓勵龍頭企業(yè)開放安全能力，通過“平臺+生態(tài)”模式賦能中小企業(yè)，避免因資源不均導(dǎo)致的安全洼地。尤其在政務(wù)、金融、醫(yī)療等高敏領(lǐng)域，應(yīng)率先試點“安全可驗證、組件可追溯、風(fēng)險可隔離”的供應(yīng)鏈準(zhǔn)入機制。

面對全球供應(yīng)鏈的高度耦合，我國需在堅持自主可控的同時，積極參與國際規(guī)則共建。一方面，加快將國內(nèi)實踐轉(zhuǎn)化為可輸出的技術(shù)標(biāo)準(zhǔn)與檢測方法，提升在全球人工智能安全治理中的話語權(quán)；另一方面，通過雙邊或多邊合作機制，推動漏洞披露、威脅情報與應(yīng)急響應(yīng)的跨國協(xié)同，避免安全問題被泛政治化或武器化。唯有構(gòu)建“技術(shù)有底座、產(chǎn)業(yè)有協(xié)同、治理有規(guī)則”的三位一體防護生態(tài)，才能在保障發(fā)展速度的同時守住安全底線，真正支撐我國人工智能行穩(wěn)致遠(yuǎn)，并為全球人工智能供應(yīng)鏈安全貢獻(xiàn)兼具原則性與實操性的中國方案。（江勇系本文通訊作者）

（本文刊登于《中國信息安全》雜志2026年第4期）