AI 供應(yīng)鏈的風(fēng)險不只在模型權(quán)重從插件到構(gòu)建環(huán)境逐層排查作者元寶一個安全研發(fā)的 AI 安全觀察與實(shí)踐筆記團(tuán)隊接入一個開源模型或第三方 AI SDK 時安全評審經(jīng)常只盯著模型權(quán)重來源是否可信、有沒有公開漏洞、許可證能否使用。這些問題重要但遠(yuǎn)遠(yuǎn)不夠。一次 AI 應(yīng)用上線往往同時引入模型權(quán)重、Tokenizer、Embedding 模型、向量庫客戶端、插件、容器鏡像、數(shù)據(jù)集和構(gòu)建腳本。任何一個環(huán)節(jié)都可能改變最終系統(tǒng)的行為或權(quán)限。假設(shè)團(tuán)隊下載了一個“客服分類模型”配套 README 建議執(zhí)行安裝腳本并開啟一個外部插件。模型推理本身沒有惡意輸出但安裝腳本修改了依賴插件又擁有讀取工單和發(fā)送通知的權(quán)限。風(fēng)險已經(jīng)從“模型是否安全”擴(kuò)展成了供應(yīng)鏈和運(yùn)行時權(quán)限問題。供應(yīng)鏈威脅地圖校驗(yàn)來源限制依賴限制運(yùn)行時發(fā)現(xiàn)影響模型與數(shù)據(jù)集來源下載與校驗(yàn)構(gòu)建環(huán)境與依賴模型服務(wù)與插件企業(yè)數(shù)據(jù)與工具篡改權(quán)重、惡意依賴、污染腳本簽名與哈希鎖文件與鏡像白名單沙箱與最小權(quán)限審計與回滾供應(yīng)鏈風(fēng)險的共同特點(diǎn)是問題可能在上線前就被引入但直到某個特定輸入、插件調(diào)用或模型更新才顯現(xiàn)。只做一次人工下載檢查很難覆蓋整個生命周期。先區(qū)分三個“可信”對象需要證明什么常見誤區(qū)來源可信包、權(quán)重或鏡像來自批準(zhǔn)渠道看到熱門倉庫就默認(rèn)可信內(nèi)容完整下載后沒有被替換只校驗(yàn)壓縮包不校驗(yàn)解壓文件行為可控運(yùn)行時不會越過數(shù)據(jù)和工具邊界把簽名當(dāng)成權(quán)限授權(quán)簽名和哈希只能說明內(nèi)容來自某個來源、沒有被修改不能說明這個來源永遠(yuǎn)不會犯錯也不能說明組件擁有訪問企業(yè)數(shù)據(jù)的資格。完整性驗(yàn)證和運(yùn)行時隔離是兩條不同的防線。模型文件并不等于純數(shù)據(jù)不同框架對模型文件、配置和自定義代碼的加載方式不同。有的格式主要保存張量有的加載過程允許執(zhí)行自定義類或腳本。評審時不要只問“模型精度怎么樣”還要問加載模型是否允許遠(yuǎn)程代碼或自定義算子推理服務(wù)是否在無外網(wǎng)、無生產(chǎn)憑據(jù)的環(huán)境運(yùn)行Tokenizer、配置和權(quán)重是否來自同一版本量化、轉(zhuǎn)換和編譯步驟是否可復(fù)現(xiàn)在不確定格式行為時優(yōu)先選擇純數(shù)據(jù)加載模式并在獨(dú)立沙箱內(nèi)轉(zhuǎn)換和驗(yàn)證。不要在開發(fā)者筆記本上直接加載來源不明的文件。用哈希和批準(zhǔn)清單固定輸入供應(yīng)鏈門禁不需要先理解模型每一層參數(shù)先把構(gòu)建輸入固定下來就能降低很多不確定性defverify_artifact(artifact,policy):rulepolicy.get(artifact.name)ifruleisNone:raiseRuntimeError(組件不在批準(zhǔn)清單中)ifartifact.versionnotinrule.allowed_versions:raiseRuntimeError(組件版本未經(jīng)批準(zhǔn))ifartifact.sha256notinrule.allowed_hashes:raiseRuntimeError(組件內(nèi)容哈希不匹配)ifartifact.sourcenotinrule.allowed_sources:raiseRuntimeError(組件來源不符合策略)批準(zhǔn)清單需要版本化并且和部署記錄關(guān)聯(lián)。臨時下載一個新模型繞過清單短期看似提高效率長期會讓事故無法還原“當(dāng)時到底運(yùn)行了哪個組件”。插件是最容易被忽略的權(quán)限放大器一個插件的風(fēng)險不取決于它名字里有沒有“AI”。只要它能讀取 CRM、發(fā)送郵件、寫入工單或訪問云 API就應(yīng)該按普通業(yè)務(wù)服務(wù)評估它代表哪個用戶執(zhí)行能訪問哪些租戶和資源讀寫權(quán)限是否分開參數(shù)由誰校驗(yàn)是否支持冪等和回滾日志中是否記錄輸入來源和授權(quán)依據(jù)插件描述文件或 README 里的“建議權(quán)限”不能自動變成生產(chǎn)權(quán)限。授權(quán)應(yīng)由策略服務(wù)和部署配置決定且默認(rèn)關(guān)閉不需要的能力。構(gòu)建環(huán)境也要當(dāng)作資產(chǎn)保護(hù)模型轉(zhuǎn)換、Embedding 生成和評測腳本通常會處理企業(yè)數(shù)據(jù)。如果構(gòu)建環(huán)境可以訪問生產(chǎn)對象存儲、內(nèi)部 Git 和云憑據(jù)依賴或腳本一旦被替換影響就不僅是模型質(zhì)量。我會把構(gòu)建任務(wù)放進(jìn)臨時環(huán)境并限制網(wǎng)絡(luò)只允許訪問批準(zhǔn)的鏡像和制品倉庫憑據(jù)使用短時、只讀、范圍受限的身份生成的模型和索引進(jìn)入隔離制品庫發(fā)布前再審批構(gòu)建日志脫敏禁止回顯 Token、連接串和原始業(yè)務(wù)數(shù)據(jù)失敗時能夠銷毀臨時環(huán)境并撤銷臨時憑據(jù)。這類控制的價值在于即使某個腳本有問題它能觸達(dá)的資產(chǎn)也是有限的。運(yùn)行時監(jiān)控不能只看接口錯誤供應(yīng)鏈組件可能一直返回 200但出現(xiàn)行為漂移模型突然大量拒絕正常問題、Embedding 分布變化、插件訪問范圍擴(kuò)大、外發(fā)請求增加。監(jiān)控應(yīng)覆蓋版本、哈希、調(diào)用來源、數(shù)據(jù)量和工具行為。發(fā)生異常時團(tuán)隊?wèi)?yīng)該能快速完成四件事凍結(jié)新版本、切回上一份已驗(yàn)證制品、撤銷組件憑據(jù)、定位受影響的輸入和業(yè)務(wù)動作。沒有回滾路徑的供應(yīng)鏈治理遇到問題只能臨時停機(jī)。供應(yīng)鏈評審清單模型、Tokenizer、Embedding 和插件是否都有來源、版本和哈希記錄是否禁止未知來源的遠(yuǎn)程代碼、自定義加載器和未鎖定依賴構(gòu)建與轉(zhuǎn)換環(huán)境是否隔離生產(chǎn)網(wǎng)絡(luò)和長期憑據(jù)插件權(quán)限是否按用戶、租戶、資源和動作拆分制品是否經(jīng)過獨(dú)立驗(yàn)證、審批和可回滾發(fā)布運(yùn)行時是否記錄組件版本、調(diào)用來源和異常行為發(fā)生供應(yīng)鏈?zhǔn)录r是否能知道哪些數(shù)據(jù)和動作受影響供應(yīng)鏈治理的落點(diǎn)是可驗(yàn)證和可回滾AI 供應(yīng)鏈安全不是給模型貼一張“可信”標(biāo)簽而是把來源、完整性、權(quán)限和行為控制分開處理。簽名證明組件沒有被悄悄替換權(quán)限系統(tǒng)才決定它能碰什么。