去年，奇安信代碼安全實(shí)驗(yàn)室做了一件挺扎心的事：他們把國(guó)內(nèi)企業(yè)最常用的10款開源大模型推理框架全部拆開，逐個(gè)檢查。結(jié)果出來后，參與的工程師半天沒說話——10款框架，無(wú)一例外，全都帶著已知高危漏洞，沒有一款是干凈的。

其中一個(gè)細(xì)節(jié)特別讓人脊背發(fā)涼：在OpenLLM這個(gè)框架里，他們挖出了一個(gè)叫CVE-2025-27520的超危漏洞。攻擊者只要利用它，就能直接拿下托管這個(gè)AI框架的服務(wù)器最高權(quán)限——root shell，通俗說就是你的服務(wù)器徹底被他接管了。這不是紙上談兵，奇安信團(tuán)隊(duì)實(shí)打?qū)崗?fù)現(xiàn)了整個(gè)攻擊過程，報(bào)告里截圖清清楚楚。那些正用這套框架跑業(yè)務(wù)的企業(yè)，可能到現(xiàn)在還蒙在鼓里，以為服務(wù)器大門鎖得嚴(yán)嚴(yán)實(shí)實(shí)。

前面六篇我們聊的AI投毒、后門、感知欺騙、會(huì)話劫持，這些攻擊雖然狠，但都有個(gè)共同點(diǎn)：得一個(gè)一個(gè)目標(biāo)去打，一次只能毒一個(gè)系統(tǒng)。供應(yīng)鏈攻擊的思路完全反過來。它不盯著單個(gè)AI下手，而是把“毒”直接下到所有AI都要依賴的底層框架、庫(kù)、組件里。一旦得手，所有用這個(gè)工具的AI系統(tǒng)瞬間全中招。這就是“毒水源”跟“毒水杯”的區(qū)別——覆蓋面不是1+1，而是乘法級(jí)爆炸。這也正是為什么供應(yīng)鏈攻擊在AI安全領(lǐng)域，被公認(rèn)為范圍最廣、藏得最深、影響最持久的一類威脅。

奇安信2025年的報(bào)告把數(shù)據(jù)擺得明明白白：國(guó)內(nèi)企業(yè)平均每個(gè)軟件項(xiàng)目要用168個(gè)開源組件，這些組件里平均藏著66個(gè)已知漏洞。報(bào)告還特別提到，多個(gè)項(xiàng)目里居然還躺著20年前就登記過的開源漏洞——那些2005年前后就該修好的老古董，現(xiàn)在還安安靜靜地待在代碼里，沒人動(dòng)過。這不是哪家公司特別馬虎，而是整個(gè)行業(yè)都在還“技術(shù)債”：開發(fā)節(jié)奏太快，組件更新太頻繁，誰(shuí)有工夫把祖?zhèn)饕蕾噹?kù)一個(gè)個(gè)清查干凈？

2020年的SolarWinds事件就是活生生的教科書。那次黑客潛入美國(guó)一家IT管理軟件公司，在官方更新包里悄悄塞進(jìn)惡意代碼。結(jié)果18000多家企業(yè)和政府機(jī)構(gòu)——包括美國(guó)財(cái)政部、國(guó)務(wù)院、國(guó)防部、國(guó)家安全局——都把這個(gè)“正版更新”裝了進(jìn)去，被滲透長(zhǎng)達(dá)9個(gè)月都沒人察覺。SolarWinds可怕的地方不在于技術(shù)多黑科技，而在于它徹底打破了信任：你以為最可靠的“官方渠道”，本身就能成為攻擊武器。放到今天AI時(shí)代，這個(gè)邏輯一模一樣。你從GitHub、PyPI這些官方渠道拉下來的推理框架，通過pip、conda正常安裝的依賴，可能從一開始就帶著問題。而且AI供應(yīng)鏈比SolarWinds那時(shí)候更分散、更碎片，管控起來也更難。

開源生態(tài)這些年飛速發(fā)展，確實(shí)給企業(yè)省了無(wú)數(shù)時(shí)間和錢。但代價(jià)也藏在沒人愛提的地方。根據(jù)報(bào)告，2024年全球主流開源軟件包生態(tài)里的項(xiàng)目總量首次突破1000萬(wàn)，其中74.5%的項(xiàng)目已經(jīng)“不活躍”——維護(hù)者早就不更新了，可這些組件還在被無(wú)數(shù)下游項(xiàng)目引用，埋在依賴樹的角落里，帶著多年前的漏洞靜靜等待被利用。一個(gè)被遺棄的庫(kù)沒人管，卻拖累了成千上萬(wàn)的上游系統(tǒng)，這已經(jīng)是開源生態(tài)的結(jié)構(gòu)性問題，不是哪一家能單獨(dú)解決的。

聽到這兒，肯定有人會(huì)問：那以后干脆別用開源框架了？其實(shí)沒必要這么極端。問題從來不在開源本身，而在于用完之后沒人管。行業(yè)里已經(jīng)有成熟的打法，而且技術(shù)門檻并不高。

第一步，先建軟件物料清單（SBOM），就像食品包裝上的配料表一樣，把AI系統(tǒng)里每一個(gè)組件、每一個(gè)版本、每一個(gè)已知漏洞都列清楚。你連自己用了什么都不知道，談何管理？

第二步，上軟件成分分析工具（SCA），讓工具自動(dòng)掃依賴樹，把有漏洞的組件標(biāo)出來，按危險(xiǎn)等級(jí)排隊(duì)修復(fù)，而不是出事了才臨時(shí)抱佛腳。

第三步，建立依賴更新機(jī)制，定期跟蹤核心組件的安全補(bǔ)丁。20年前的漏洞到現(xiàn)在還在，就是因?yàn)闆]人把這件事當(dāng)成日常工作去做。

這三步說起來簡(jiǎn)單，做起來考驗(yàn)的是企業(yè)到底把安全當(dāng)真事還是當(dāng)擺設(shè)。

最后留三個(gè)問題給大家在評(píng)論區(qū)聊聊：

1. 你或者你的技術(shù)團(tuán)隊(duì)，現(xiàn)在知道自己公司的AI系統(tǒng)到底用了哪些開源組件、這些組件有沒有已知漏洞嗎？

2. “74.5%的開源項(xiàng)目已經(jīng)停止維護(hù)但還在被使用”——你覺得這個(gè)問題的根本責(zé)任，應(yīng)該落在用了廢棄組件的開發(fā)者身上，還是沒建審計(jì)機(jī)制的企業(yè)頭上，還是整個(gè)行業(yè)和生態(tài)都得一起扛？

3. 如果今天有人告訴你，你正在用的那款大模型推理框架里有個(gè)攻擊者已經(jīng)能利用的漏洞，你知道該找誰(shuí)、要多久能把它徹底修掉嗎？

歡迎把你的答案和真實(shí)經(jīng)歷寫在下面，咱們一起把AI供應(yīng)鏈安全這件事聊得更透。