简介：这份PDF资料聚焦Gartner对2025年AI驱动网络安全新挑战的预测，面向安全与风险管理领导者、应用安全工程师及关注AI治理的从业者，帮助其理解AI动荡期的攻击面变化与应对思路。内容围绕软件供应链与技术栈中毒、早期GenAI落地受挫、AI代理漂洗、深度伪造与自动化账户接管等议题展开，并给出审查应用安全实践、优先成果驱动AI计划、预判新型账户接管攻击等建议，涉及AI安全、软件供应链安全与自动化攻击等方向。资源包共1个PDF文件，约215KB，为Gartner原版研究报告节选，含关键发现、建议与战略规划假设，便于快速把握核心结论与数据。目前已有90人学习，适合需要将AI风险纳入安全规划、对照检查自身AI供应链与防御策略的读者参考。

1. 2025 年 AI 安全进入动荡期：70% 恶意攻击来自供应链与技术栈中毒

2025 年 2 月，一份编号 G00823404 的预测报告在安全和风险管理圈子里流传开来。它给出的核心判断并不温和：网络安全正在进入一个由 AI 驱动的动荡期，而动荡的主要来源不是科幻电影里的“AI 觉醒”，而是更朴素、更工程化的地方——软件供应链和基础设施技术栈。报告里有一句被反复引用的话：到 2025 年，针对企业所用 AI 的恶意攻击中，超过 70% 将来自软件供应链中毒和基础设施技术栈中毒。

这个数字值得从业者停下来想一想。过去两年，大家谈 AI 安全，谈得更多的是模型越狱、提示词注入、内容合规；而这份预测把聚光灯打到了更底层的位置：开源模型、数据科学笔记本、Python 库、数据管道配置。攻击者不需要攻破你的模型，只需要在你下载的模型里、在你跑实验的 notebook 里埋一颗种子。结合 AI 治理、软件供应链安全、自动化攻击、深度伪造这几个关键词来看，这条资讯真正想说的不是“AI 很危险”，而是“AI 的采用方式正在制造一批新的、传统工具扫不到的暴露面”。

2. 70% 这个数字背后：AI 供应链为什么成了主战场

2.1 攻击者的成本收益账：打基础设施比打单点划算

报告里有一句很直白的分析：黑客传统上就把大部分攻击放在基础设施和供应链层面，除非他们有非常明确的目标。原因不复杂——影响面最大、投入精力最少。这个逻辑在 AI 时代被放大了。一个企业内部可能只有几十个业务系统，但一条 AI 管道上挂着开源模型、第三方数据集、Jupyter Notebook、Python 依赖、容器镜像、推理服务框架，每一层都是可被投毒的入口。

从行业角度看，这正是“技术栈中毒”这个说法的由来。传统应用安全有一套相对成熟的清单：SAST、DAST、SCA、镜像扫描。但当 AI 组件进入开发流水线，很多团队默认“现有的漏洞扫描工具应该也能覆盖”，报告明确提醒不要这么假设——并非所有传统应用安全工具都已经进化到能对 AI 实体做漏洞扫描。结果就是，员工在推进 AI 应用时，手里其实没有合适的防护工具。

报告还给出了两个来自客户侧的观察：专门做 AI 安全的厂商在对客户站点做开源模型定期扫描时发现，最高约 1% 的开源模型被植入了恶意软件；在客户环境中还发现了数以千计的受感染数据科学笔记本。这两个数字不需要精确到小数点，它们传递的信号已经足够清楚：投毒不是理论推演，而是已经在客户现场被扫出来的事实。

2.2 新的攻击面清单：模型、Notebook、数据管道

把报告里散落的点收拢，AI 供应链上的新暴露面大致可以分成四类，每一类的防护现状都不一样：

这张表里最容易被低估的是第二行。Notebook 在很多组织里是“分析师的个人工具”，不进代码仓库、不走 CI、不做依赖锁定，但它能直接读数据、发网络请求、装任意包。数以千计受感染 Notebook 的发现，本质上说明这个灰色地带已经大到可以被规模化利用。报告里另一条判断也指向同一处：攻击者发现攻击数据管道比逐个攻击运行时事务更有“产出”，因为管道上流动的是成批的敏感信息。

提示：如果你的 AI 项目盘点表里只有“模型”和“应用”两栏，没有“Notebook、依赖库、数据管道”这几栏，那这份盘点大概率是不完整的。

2.3 从“运行时防护”转向“供应链与基础设施加固”

报告给的建议方向很明确：把注意力从运行时向量扩展到软件供应链和基础设施栈。具体落到动作上，是先建立 AI 应用的发现与清点流程，再把现有的应用安全最佳实践迁移到 AI 项目上，然后启动针对 AI 应用的软件成分分析和漏洞评估。基础设施侧则提到机密计算、数据管道深度检测、工作负载加固这几类能力会因保护 AI 交互和企业数据的需要而被更广泛采用。

这里有个容易被跳过的前提：发现和清点。很多团队一上来就想买扫描能力，但如果不知道自己有多少个 AI 项目、每个项目用了哪些模型和依赖，扫描器扫什么都是盲的。从行业角度看，AI 治理工具的价值也在这里——持续评估并保证所有 AI 资产的安全态势，尤其是来自软件供应链的那部分资产。治理不是写制度，而是先有一份能持续更新的资产账本。

3. 被误读的 AI 安全：四个容易踩的认知坑

3.1 误判一：把 AI 安全等同于模型安全

误判点：一谈 AI 安全，就聚焦在模型本身的对抗样本、越狱、提示词注入。为什么：模型层面的讨论声量大、演示效果好，容易占据议程。怎么看：报告的重心恰恰在模型之外——供应链和技术栈占了恶意攻击的七成以上。模型安全要做，但如果资源有限，先把模型从哪来、依赖了什么、跑在什么管道上搞清楚，收益更直接。模型是结果，供应链是入口。

3.2 误判二：认为现有扫描工具已经覆盖 AI 组件

误判点：既然有 SCA 和镜像扫描，AI 组件自然也在覆盖范围内。为什么：工具清单看起来很长，没人逐项验证过对模型文件、Notebook 的解析能力。怎么看：报告明确说不要假设现有基础设施安全和漏洞扫描工具能正确处理 AI 组件。验证方法很朴素：拿一个已知有问题的开源模型或 Notebook 丢进流水线，看工具报不报。不报，就是没覆盖。

3.3 误判三：把早期 GenAI 实验的失望当成 AI 不行

误判点：早期生成式 AI 项目没出成果，于是对后续 AI 创新整体降温。为什么：投入大、可衡量成果少，信心被消耗。怎么看：报告把这称为“幻灭低谷”，并提醒这可能导致对未来 AI 创新的忽视。更准确的读法是：失败的是那些范围模糊、难以衡量的转型项目，而不是 AI 本身。只有 12% 的安全与风险管理领导者已经取得可衡量成果，这个比例说明的是方法问题，不是方向问题。

3.4 误判四：把“AI 代理自动化”当成马上能落地的全自动

误判点：厂商说能自动化整个工作流，就按全自动来规划编制和流程。为什么：2025 年 AI 代理正接近炒作峰值，承诺很诱人。怎么看：报告判断代理式工作流的整体成熟度仍然偏低，距离稳定期还有 5 到 10 年。安全团队在威胁检测与响应上吃过“买了检测、响应却跑不动”的亏，原因是误报和业务中断容忍度低。对代理，合理的姿态是半自动加人工抽检，而不是一步到位。

4. 自动化攻击与深度伪造：防御方的时间窗口在收窄

4.1 账户接管被加速：暴露利用时间缩短 50%

报告里有一条对身份安全团队冲击最大的预测：到 2027 年，AI 代理会进一步自动化凭据窃取和对认证通信渠道的攻破，把账户暴露被利用的时间缩短 50%。这条预测的底层逻辑并不新——账户接管一直是顽固的攻击向量，弱凭据通过数据泄露、钓鱼、社会工程、恶意软件被收集，然后用机器人对多个服务做撞库。新的是 AI 代理把杀伤链上更多的步骤也自动化了：从基于深度伪造语音的社会工程，到端到端的凭据滥用。

值得注意的是，报告点出了多因素认证的软肋：依赖带外通信渠道的 MFA 同样可被攻击，比如截获短信或邮件里的一次性口令，或者用推送轰炸把用户逼到点“同意”。FIDO2 通行密钥在访问管理工具和部分大型消费服务里已经支持，但终端组织和用户侧的采用进展缓慢，密码这类遗留凭据在可预见的未来仍会存在。这意味着防御方不能指望“上了 MFA 就万事大吉”，通信渠道安全和凭据安全需要重新评估。

4.2 深度伪造的目标在下沉：从高管扩展到普通员工

另一条预测是：到 2028 年，40% 的社会工程攻击将不再只针对高管，而是用深度伪造和其他伪造现实技术瞄准更广泛的员工群体。这个变化对防御体系的影响是结构性的。过去反欺诈和社工防护的资源集中在少数高价值目标上，流程可以靠人工核验兜底；当目标变成成百上千的普通员工，人工核验的带宽立刻不够用。

报告的建议是保持 AI 威胁情报职能，并针对实际观察到、有危害的深度伪造攻击来调整防御，而不是陷入恐慌。这句话的分量在于“observed and harmful”——深度伪造的演示很多，真正造成损失的场景是有限的，防御资源应该跟着真实案例走，而不是跟着演示视频走。从行业角度看，这也解释了为什么内容生成规模化（scam content generation at scale）比单次高仿真伪造更值得警惕：前者是量变引起质变，后者还能靠个案流程应对。

4.3 一个可落地的验证思路

对做安全工程的人来说，与其争论预测准不准，不如把预测转成可验证的假设。下面这段伪代码展示的是把“账户暴露利用时间”做成可观测指标的基本思路，语言用 Python，重点在注释里的口径说明：

# 计算账户暴露到被利用的时间窗口（示例口径，非真实数据） from datetime import datetime def exposure_to_exploit_hours(exposure_ts, first_abuse_ts): # exposure_ts: 凭据泄露被确认的时间 # first_abuse_ts: 首次观察到异常登录/滥用的时间 delta = first_abuse_ts - exposure_ts return delta.total_seconds() / 3600 # 按渠道分组统计，重点看短信OTP、邮件OTP、推送三类 channels = ["sms_otp", "email_otp", "push"] for ch in channels: # 若某渠道的中位数持续下降，说明该渠道正被自动化工具重点利用 print(ch, "median_hours=", compute_median(ch))

这段代码本身不复杂，价值在口径：把“暴露”和“首次滥用”两个时间点定义清楚，按认证渠道分组看中位数变化。如果某个渠道的中位数在几个季度内明显下滑，那就是自动化攻击在该渠道上加码的信号，比等一份年度报告更及时。参数上唯一需要斟酌的是“首次滥用”的判定阈值，建议先用人工复核过的样本校准，再放开自动化统计。

5. 趋势判断：战术化落地才是 2025 到 2027 的主线

报告里有一条容易被标题盖过的预测，我认为它对从业者的日常影响最大：到 2027 年，网络安全领域 90% 成功的 AI 实施将是战术性的——任务自动化和流程增强，而不是角色替代。这条判断和“代理接近炒作峰值、稳定期还要 5 到 10 年”是同一枚硬币的两面。厂商会继续暗示产品能实现完整的角色替代，方向上可能没错，但短期内拿不出可泛化、可衡量、达到人类水平质量的证据。

把几条预测放在一起看，2025 到 2027 的路线图其实相当清晰：

对安全与风险管理领导者来说，报告的建议可以归成三条行动线。第一条是审查现有应用安全实践，既覆盖传统攻击面，也检查开发生命周期里的新步骤和 AI 软件供应链里的新组件。第二条是优先做成果驱动的 AI 计划，把小的实验和持续的收益评估结合起来，而不是启动范围模糊、难以衡量的转型项目。第三条是提前应对账户接管的新一波攻击，重新评估通信渠道和凭据安全，尤其是半自动和即将到来的代理架构。

对安全团队自身，报告里有一句提醒很实在：继续建设团队内的 AI 素养，设定现实预期，建立对 AI 代理的评估框架；在半自动工作流里保留定期人工验证，测试阶段做抽样核验，上线后也要维持。这话听起来保守，但结合安全团队过去在“全自动检测响应”上踩过的坑，保守恰恰是血泪经验换来的。真正成功的团队，会从自己在安全场景里验证有效的实验中汲取灵感，反过来去保护 AI 应用，把 AI 特有的需求和技术逐步整合进去，并和负责 AI 的同事协作，把 AI 治理、信任、风险与安全管理（TRiSM）的原则落全。

还有一个观察值得单独说：报告提到更多 AI 模型市场会加入对第三方和开源模型的下载前安全扫描，企业安全团队会越来越多地使用专门的 AI 安全厂商来扫描 Notebook、ML 管道和已部署的 AI 应用栈。这意味着采购清单会变——不是替换现有工具，而是在现有工具覆盖不到的地方补一层。对厂商来说这是机会窗口，对甲方来说这是预算重新分配的信号。

我自己的习惯是，每次要引入一个新的开源模型或一条新的数据管道，都强制走一遍“来源、依赖、管道配置”三问，哪怕项目再小也不跳过。这个习惯不是从哪份报告里学来的，而是见过太多“以为扫描器会管”的翻车之后养成的。AI 动荡期里，没有后悔药，只有提前做过的清点。希望帮到你。

本文还有配套的精品资源，点击获取