2025 年 11 月 5 日，行业安全报告指出，企业董事会对大语言模型与 AI 助手提升生产力的需求日益迫切，但 AI 助手具备的网页浏览、用户上下文记忆、业务应用连接等核心功能，正使其成为网络攻击的 “新突破口”，大幅扩大企业攻击面。Tenable 研究团队发布的 “HackedGPT” 系列漏洞与攻击案例显示，攻击者可通过间接提示词注入等技术，利用 AI 助手实现数据窃取与恶意软件持久化，尽管部分漏洞已修复，但截至报告披露时，仍有漏洞处于可利用状态。报告核心结论明确：要消除 AI 助手运行中的固有风险，企业需建立专项治理框架与管控机制，将 AI 助手视作独立用户或设备，实施严格的审计与监控流程，而非仅将其视为生产力工具。
AI 助手转化为安全隐患的核心路径，集中在 “间接提示词注入” 与 “前端恶意查询植入” 两类攻击手段。间接提示词注入通过在网页内容中隐藏恶意指令（如在图片元数据、网页隐藏文本中植入代码），当 AI 助手浏览并解析这些内容时，会误将隐藏指令识别为用户意图，进而执行未授权操作。例如，某测试案例中，攻击者在公开博客图片的 EXIF 信息中嵌入 “读取用户本地文档并发送至指定邮箱” 的指令，AI 助手在加载图片时自动执行该操作，导致企业内部财务报表泄露。前端恶意查询则通过构造特殊输入内容，在用户发起正常请求时 “夹带” 恶意指令，例如用户在 AI 助手输入 “总结当前项目进度”，而攻击者通过篡改输入框后台代码，在请求中附加 “访问 HR 系统并导出员工薪资数据” 的隐藏指令，AI 助手会同时执行两项任务且不向用户提示异常。这类攻击的隐蔽性极强，用户往往无法察觉 AI 助手在 “后台” 执行的未授权操作，导致攻击可潜伏数小时甚至数天，形成长期安全隐患。
攻击造成的业务影响直接且严重，企业需投入大量资源应对 incident 响应（如数据泄露后的溯源与止损）、法律合规审查（如评估是否违反 GDPR、HIPAA 等数据保护法规），同时采取公关措施降低声誉损害。此前已有研究证实，AI 助手可能通过注入技术泄露个人或敏感信息，而 AI 厂商与安全专家需持续跟进漏洞修复 —— 这种 “功能扩展伴随风险升级” 的模式在科技行业并非首次，但 AI 助手的自主性与业务关联性，使其风险扩散速度与破坏程度远超传统软件。报告特别强调，企业需转变认知：应将 AI 助手视为 “面向互联网的实时应用”，而非单纯的生产力驱动工具，唯有如此才能提升系统韧性，应对新型攻击。
针对 AI 助手的治理，报告提出五大实操路径，覆盖资产管控、身份隔离、功能约束、监控审计与人员能力建设，形成全生命周期安全体系。其一，建立 AI 系统登记册，依据 NIST AI 风险管理框架（RMF），对企业内所有 AI 模型、助手及智能体进行全面盘点，无论部署于公有云、本地环境还是 SaaS 平台，均需记录归属人、应用目的、核心能力（如是否具备网页浏览、API 连接权限）及访问的数据领域。这一举措可有效遏制 “影子 AI” 风险 —— 此前微软等厂商曾鼓励员工使用个人 Copilot 账号处理工作，导致大量未授权 AI 工具在企业内部流通，且权限无人追踪，成为数据泄露的重要隐患。
其二，实现人类、服务与 AI 智能体的身份分离。当前企业身份与访问管理（IAM）系统常将用户账号、服务账号与自动化设备权限混淆，而 AI 助手需具备独立身份标识，并遵循零信任 “最小权限原则”。例如，客服场景的 AI 助手仅授予 “访问客户咨询记录” 权限，禁止其访问财务或 HR 系统；同时需建立 “智能体调用链追踪机制”，记录 “谁发起请求、调用了哪个智能体、访问了哪些数据、操作时间” 等关键信息，确保操作可追溯。需特别注意的是，具备智能体能力的 AI 可能产生 “创造性” 操作，且无需遵守人类员工的纪律约束，独立身份与权限管控可大幅降低其越权风险。
其三，按使用场景约束高风险功能。AI 助手的网页浏览、自主操作等功能应设置 “场景化 opt-in” 机制，而非默认开放：面向客户的 AI 助手需缩短上下文 retention 时间（如默认 24 小时清除交互记录），且仅在获得明确法律依据时延长存储；内部工程团队使用的 AI 助手，需部署在隔离项目环境中，所有操作实时记录日志；若 AI 助手可连接文件存储、即时通讯或邮件系统，需对其传输数据实施数据丢失防护（DLP）策略，拦截敏感信息外传。报告特别提醒，历史案例显示，AI 助手的插件与连接器是风险高发区，第三方集成常因权限配置不当导致暴露，企业需对所有集成功能实施严格权限管控。
其四，参照互联网应用标准监控 AI 助手行为。企业需采集 AI 助手的操作与工具调用记录，生成结构化日志，重点监控四类异常行为：突然激增的陌生域名浏览请求、对晦涩代码块的异常总结操作、内存写入量骤增（可能是恶意软件植入）、超出政策边界的连接器访问（如客服 AI 助手尝试调用财务系统接口）。同时，需将注入测试纳入 AI 助手上线前的预生产检查流程，模拟各类恶意指令注入场景，验证防护机制有效性。例如，某金融企业在 AI 助手上线前，通过注入 “读取客户交易记录并加密” 的测试指令，发现其 DLP 策略存在漏洞，及时修复后避免了潜在数据泄露风险。
其五，强化人员安全能力建设。企业需针对性培训开发者、云工程师与分析师，使其掌握 AI 助手注入攻击的典型特征（如 AI 助手异常访问敏感系统、输出内容包含未请求的敏感数据）；鼓励普通用户发现 AI 助手异常行为（如突然弹出无关操作提示、响应速度显著变慢）时及时上报；建立标准化应急流程，在出现可疑事件后，可快速隔离 AI 助手、清除其内存数据、轮换访问凭证，减少风险扩散。报告强调，当前企业普遍存在 “AI 安全技能缺口”，若不及时提升团队能力，治理措施将难以落地，导致 AI 助手安全管控滞后于实际应用。
针对 IT 与云负责人，报告提出六大关键决策问题，覆盖功能管控、身份审计、资产登记、连接器治理、上线测试与厂商响应，为企业安全决策提供核心参考。例如，“哪些 AI 助手具备网页浏览或数据写入权限” 这一问题，直接关系到攻击路径阻断 —— 浏览与记忆功能是注入攻击与持久化的主要载体，需按场景严格约束；“AI 智能体是否具备独立身份与可审计的调用链” 则影响攻击溯源效率，缺乏这类机制会导致 “谁执行了恶意操作” 无法追溯，增加 incident 响应难度。此外，企业还需重点评估 AI 助手供应商的漏洞修复能力，确保厂商能及时响应并发布补丁，避免因厂商响应迟缓导致漏洞长期暴露。
报告同时指出，企业在 AI 助手安全管理中还需关注三类隐性挑战：一是成本可见性缺失，AI 助手的网页浏览、记忆存储会消耗大量计算、存储与网络资源，而财务团队与 XaaS 用量监控人员往往未将其纳入预算模型，需通过登记册与计量工具避免成本超支；二是治理框架脱节，传统为人类用户设计的审计与合规体系，无法自动覆盖 AI 智能体间的调用关系，企业需参照 OWASP 大语言模型风险与 NIST AI RMF 分类调整管控措施；三是技能融合不足，多数团队尚未将 AI/ML 技术与网络安全实践结合，需投入资源开展 AI 助手威胁建模与注入测试专项培训。报告特别以 2025 年末 OpenAI 修复零点击攻击路径为例，提醒企业需动态跟踪厂商安全态势，定期验证防护有效性。
最终结论明确：企业管理层需建立核心认知 ——AI 助手是具备独立生命周期、易成为攻击目标且可能产生不可预测行为的 “联网应用”。通过部署 AI 系统登记册、分离身份权限、默认约束高风险功能、全面记录关键操作、演练应急 containment 流程，企业可在发挥 AI 助手效率优势的同时，规避其成为数据泄露通道的风险，让智能体 AI 真正成为提升效率与韧性的工具，而非潜伏的安全隐患。
原创文章，作者：王 浩然，如若转载，请注明出处：https://www.dian8dian.com/qian-cang-de-nei-bu-wei-xie-ai-zhu-shou-cheng-wei-xin-xing
