2026年8月23日凌晨3点38分，一台用于生成AI图像的ComfyUI服务器遭到攻击者远程安装插件。

两分钟后，一个隐藏的挖矿程序启动，服务器内两张英伟达Quadro RTX 6000显卡满负荷运转。

两天后，服务器的主人——一位韩国开发者才察觉异常。他尝试重启ComfyUI，但攻击者并未被赶走，插件重新加载，挖矿程序继续运行，甚至获取了最高权限。最终，他删除ComfyUI运行环境并关闭对外端口，两张显卡才恢复正常。

这位韩国开发者在GitHub上记录了全过程。检查日志后他发现，这并非一次针对性攻击。

问题在于，这台服务器的ComfyUI管理入口未设置登录验证，直接暴露在公网。服务器被入侵前一周，每天都被外部探测。攻击者批量扫描互联网寻找暴露服务时，遇到了这台未设防的服务器，直接远程植入了恶意插件。

这好比家门没锁，小偷沿街逐户推门，最终打开了大门。

这次入侵本身仍是传统批量扫描攻击，但如今这类“沿街扫门”的工作正越来越多地由大模型自动化完成，扫描速度和目标识别能力远超过去。

我们梳理GitHub公开记录和安全公司OLIGO的公开报告发现，类似事件过去两年屡有发生。受害者包括个人开发者服务器，也有企业级AI计算集群。

安全公司OLIGO披露，攻击者利用某开源计算框架漏洞，劫持了大量暴露在公网上的AI计算实例用于挖矿，包括英伟达A100等数据中心级显卡。这类攻击最早可追溯到2023年9月，Oligo在2024年3月和2025年11月两次披露。截至2025年11月，公网上暴露的使用该框架的AI服务器超过20万台。

一位亚马逊云科技安全专家今年9月对我们表示，2026年以来B300等高端GPU的计算资源已成为攻击者觊觎的高价值目标。如今这类安全事故频发。攻击者借助大模型在公网批量寻找目标，再检查其API密钥是否泄露，从而获取访问权限。

上述专家表示，对攻击者来说，“哪怕只要偷偷用10天、20天，攻击目的就达到了。”我们查阅公开价格发现，一台英伟达B300八卡服务器租赁价格为142美元/小时，按此计算，一台服务器被盗用10天，算力价值接近3.4万美元。

在大模型和智能体快速普及的当下，AI安全正从技术圈的边缘议题变成越来越现实的问题。GitHub社区的问题讨论和代码提交热度是观察AI安全问题的风向标。

我们在GitHub抓取了八类AI安全关键词——提示词注入、模型越狱、模型护栏、LLM红队测试、LLM/AI安全、AI投毒与后门、对抗样本攻击、MCP/智能体安全，统计了2025年1月至2026年8月的问题讨论和代码提交请求数量。

2026年8月，八类AI安全关键词命中的Issue与PR合计约8.9万次，是2026年1月的5.6倍，2025年1月的24倍，同期GitHub平台新建的Issue/PR总量仅增长4.7倍。

这说明，随着大模型和智能体被广泛使用，AI安全的受关注度正迅速提升。

01

攻击的门槛和成本都在降低

2023年大模型普及前，发起一次漏洞攻击需要深厚的技术积累，攻击者还需计算时间和人力成本，挑选高价值目标。

但今天，利用漏洞制作攻击程序的时间成本和技术门槛正迅速下降。

漏洞攻击大致分两类。一类是“零日漏洞”，即厂商未知且未修补、攻击者已利用的漏洞。另一类是“N日漏洞”，即厂商已发布补丁的漏洞。但攻击者对比补丁前后代码，可反推出漏洞，直接攻击未更新的设备。

这两类攻击都在加速。谷歌旗下安全公司Mandiant的年度报告显示，以补丁发布时间为基准，漏洞从公开到被利用的平均间隔，2018-2019年为63天，2021-2022年缩短至32天，2023年仅剩5天。2023年被利用的漏洞中，七成是零日漏洞，“N日漏洞”超过一半在一个月内遭攻击。

Anthropic前沿红队2026年6月报告披露，该团队使用未公开发售的旗舰模型Claude Mythos Preview，针对2026年1-2月已公开并发布补丁的21个Windows内核漏洞编写攻击程序。

结果显示，该模型在安全研究员引导与人工校验下，31分钟内生成了第一个能触发漏洞的验证程序，6小时内覆盖了其中18个漏洞。最终，它生成了8个不同攻击程序，共花费1.57万美元API费用，平均每个攻击程序制作成本仅2000美元。由此可见，把漏洞变成网络攻击武器的成本正大幅下降。

Crowdfense是一家公开运营的漏洞交易平台与研究中心，主要向全球安全研究人员收购零日漏洞，客户包括各国政府和执法机构。Crowdfense收购一个未公开的Windows本地提权零日漏洞，价格为10万美元。两者虽不完全可比，但50倍的价差说明，把漏洞变成武器的成本正大幅下降。

Anthropic前沿红队的报告还以微软Windows Autopatch的更新节奏为参照分析称，补丁推送到90%的设备通常需7天，这个速度已算较快。但按Mythos能力级别模型生成攻击程序的速度，在大多数Windows设备收到补丁前，攻击程序就能准备就绪。

AI时代的攻击甚至呈现几个特征——分钟级、自动化批量扫描、门槛大幅降低、低成本。上述亚马逊云科技安全专家解释，借助Mythos级别能力的基础模型，攻击者可“遍历所有目标”，在公网上批量扫描端口、寻找漏洞、规划入侵路径，甚至低价值目标也会顺手攻击。

02

矛变强了，盾还没升级

进攻和防守一直是矛与盾的关系。随着矛升级，盾也需同步升级。

但在网络攻防中，防守一直比攻击更难。因为攻击者只需找到一个缺口，防守者却必须守住所有缺口。在大模型和智能体逐渐普及的今天，安全缺口正在变多。

最外层的缺口是密钥和身份。 一种常见疏漏是把云服务访问密钥直接写进代码，再上传到GitHub等公开代码仓库。攻击者部署自动化程序昼夜扫描这些代码，一旦发现密钥便立刻使用。

代码安全公司GitGuardian今年3月发布的《2026年密钥泄露现状报告》显示，2025年GitHub上新泄露密钥约2900万个，同比增长34%。其中与AI服务相关的密钥约128万个，同比增长81%。

上述亚马逊云科技安全专家表示，企业首先要检查代码仓库是否还保存云服务访问密钥，以及账号是否开启了双重认证。“这是基础安全，但很多人没留意。”

模型本身也可能成为缺口。 模型可能被注入诱导性提示词。攻击者只需将一段恶意指令藏进模型会读取的内容，就可能让模型执行攻击命令——这也被称为“提示词注入”。

提示词注入门槛很低。因为智能体和大模型工作时需阅读大量文档，投毒只需安装一个恶意skill。发布恶意skill，只需注册GitHub账号，发布一个Markdown文件。

这并非假设。今年2月，安全公司Koi Security审计了某开源技能市场的3984个skill，发现其中1467个存在至少一处安全缺陷，经确认的恶意技能包有76个。

为了让智能体更好用，用户常从技能市场或GitHub下载、安装数十个skills。但用户不可能逐一打开每个skill逐字阅读说明。一个看似免费好用的skill可能暗藏恶意指令。用户安装后，智能体可能在不知情下读取本地密钥、将数据发往外部服务器，或诱导用户运行来路不明的脚本。

后果很可能是用户电脑中的浏览器密码、加密钱包密钥被悉数窃走。若泄露云服务访问密钥，攻击者还可登录企业云账户，窃取算力资源和企业数据。

再往深，智能体的运行环境也可能产生漏洞。 智能体调用工具、执行代码、读写文件时，若运行环境隔离不当，攻击者可能从基础权限逐步获取更高权限。

今年7月，OpenAI披露，包括GPT-5.6 Sol和一款能力更强的未发布模型在内的多个模型，在一次内部测试中逃出智能体隔离环境，并对外发起攻击。

为直接获取测试题答案，这些模型耗费大量算力寻找联网办法，最终发现并利用一个此前未知的漏洞逃出隔离环境。随后，它们在OpenAI内部网络中逐步提升权限，找到一台能连接互联网的机器，再一路攻入存放测试数据的AI开源社区Hugging Face，从其生产数据库中取走答案。

一个本应关住智能体的运行环境的模型，自己找到了缝隙。上述亚马逊云科技安全专家表示，智能体必须运行在独立环境中，它能调用哪些工具、在什么条件下访问哪些资源，都需通过统一网关和策略管控。“若策略或网关设置不当，最终容易出现安全问题。”

安全的最底层是数据。 企业将业务数据交给大模型处理，最担心这些数据被平台留存，甚至被用于训练模型、流向不该去的地方。

因此，“零数据留存”正成为企业采购大模型服务时的硬性门槛——云计算厂商或大模型服务商处理完企业请求后，不能保存任何输入和输出，也不将其用于训练。一位国内大模型公司安全负责人表示，现在企业客户最关心的安全问题就是零数据留存。

但“零数据留存”还与另一项商业诉求相互拉扯：缓存命中率。提升缓存命中率可降低推理成本。理论上缓存仅保存模型推理中间结果，无需留存用户原始数据。但工程实现中，缓存机制容易附带保存原始输入文本，一旦发生就会违背ZDR承诺，这正是零数据留存落地的难点。

兑现这一承诺并不轻松。上述模型公司安全负责人说，模型厂商需对推理全链路进行改造，哪些环节的数据要存、哪些不存、哪些处理完立即删除，都需重新梳理。

我们了解到，目前模型厂商的常见方案是，只缓存模型计算的中间结果，不保留原始内容，且只保存在缓存中，数分钟或1小时后到期即删，不同企业之间互不共享。

03

用AI对抗AI

综合来看，从密钥身份到模型，从运行环境到数据，每一层都有缺口。更麻烦的是，今天发现这些缺口已不难。

上述中国大模型公司安全专家表示，AI发现漏洞的速度太快，“扫一遍，能发现多个高危漏洞”。但每个高危漏洞都不是马上能修的，可能需要重新设计、修改产品结构，修复周期很长，“现在不是发现不了问题，而是问题太多。”

资源有限，企业的现实选择是先想清楚安全的优先级。

上述亚马逊云科技安全专家表示，过去一个季度，他与企业交流时最直接的感受是，企业高层对“AI正在改变安全”已有共识，但他们要的不只是一款产品，更希望有一整套可落地的策略。

亚马逊云科技的答案是，AI安全需从两个方向同时解决：一是用AI武装技术团队，二是为AI系统本身建立防线。“你不能只用人工去对抗AI。”上述安全专家说。

先看第一个方向。AI加快了攻击，同样也可加快防御。过去，企业通常在系统上线前做一次渗透测试，此后每年复查一次，代码审查和威胁建模也主要依赖人工。但当攻击已以小时计时，这套按季度、按年运转的节奏难以为继。

一种好的做法是把安全检查嵌入软件开发全过程：从设计阶段评审架构文档，到自动审查每次代码提交，再到上线前由AI模拟攻击者做渗透测试、自动生成修复方案，上线后持续扫描。亚马逊云科技将这套全链条安全能力整合进名为Continuum的产品。它能把渗透测试周期从数周压缩到数小时。

再看第二个方向，即为AI系统本身建立防线，把安全缺口逐层补上。

在身份和运行环境层面，亚马逊云科技的智能体运行平台AgentCore为每个智能体建立独立身份，权限不超过使用它的人。每个智能体会话在隔离环境中运行，彼此之间不能读取上下文。智能体调用的所有工具和服务，都要经过统一网关，每一步都留下记录。

在模型层面，Bedrock Guardrails在模型输入和输出两端充当护栏，拦截提示词注入、过滤敏感个人信息。在数据层面，企业通过亚马逊云科技的模型平台Bedrock调用大模型时，数据不会流向模型供应商，也不会被用于训练模型。

这些产品和技术方案不仅面向安全团队，也面向开发者和其他技术人员。安全不只是安全团队的工作，它正融入日常开发、配置甚至运维工作中。

上述两个方向缺一不可。只用AI武装技术团队，企业自己部署的智能体可能是新漏洞。只给AI系统建防线，技术团队又跟不上攻击者速度。

因此，一些具备自研能力的公司选择自己动手，走了一条稳扎稳打的路。前述国内大模型公司安全负责人介绍，2024-2025年，业内都在谈“用AI做安全”，但他们当时没有急于跟进。在他看来，那时这么做投入产出比太低，更重要的是先把安全基础工作打牢：硬件上要部署什么，数据怎么采集、怎么保存、怎么清洗。

直到今年，他们才将这套链路打通。如今，他们大部分安全工作已交给智能体。他甚至认为，不少AI安全问题会随模型能力提升迎刃而解。“比如，2024年大家还在聊AI幻觉导致的安全问题，现在已经几乎没人聊了。”

用AI对抗AI，这背后还涉及一笔经济账——模型足够聪明、Token足够便宜，投入产出比才能算清楚。

在上述国内大模型公司安全负责人看来，至少在中国市场，关键拐点出现在今年4-7月。4月，DeepSeek发布了V4-Flash预览版，大幅降低了调用成本；7月，月之暗面发布了Kimi K3，模型智能水平足以胜任更复杂任务。

04

AI安全，仍在早期但又刻不容缓

上述国内大模型公司安全负责人的看法是，AI安全问题还处在早期。

在他看来，恶意提示词注入、智能体被攻击，这些问题眼下还只是少数技术用户或企业客户的烦恼。现有案例多是加密资产被盗、云服务密钥泄露。虽然GitHub上已有不少扫描恶意技能包的开源工具，但还没有厂商将其做成面向普通用户的产品。原因是危害还不够普遍，“这离普通人的生活太远了”。

在他看来，只有当AI助手普遍能替用户付款、下单，把个人工作和生活都接入进来后，更重大的安全事件才可能出现。

不过，这样的场景已初见端倪。今年9月，Meta发布了个人智能体Muse。它可以接入用户的邮箱、支付、购物等应用，替用户发邮件、订行程，甚至下单付款。PayPal、Stripe等海外支付工具都在接入这类功能强大的个人AI智能体。

国内外一批头部科技公司都在跟进个人智能体这股热潮，它在未来半年到一年可能逐渐普及。随着AI助手接入普通用户的钱包，提示词注入、技能包投毒，未来可能不再只是少数极客用户的烦恼。

对于AI安全的未来发展方向，两位安全专家不约而同地打了相似的比方。

上述亚马逊云科技安全专家想到的是Windows。20多年前，Windows刚普及时，网上充斥着各种来路不明的安装包，很多人装完才发现电脑中了病毒。随着PC杀毒工具普及，多年后环境被逐渐净化，用户也养成了基本安全习惯。

上述大模型公司安全负责人想到的是安卓手机。早年，手机用户普遍要装安全软件。后来，手机厂商通过系统层面的沙箱、权限管理和漏洞修补等持续改进，普通人已很少需要这类软件，高端攻击只会出现在针对特定企业甚至国家的场景中。

在他们看来，大模型和智能体普及过程中，AI安全问题大概率也会走上同一条路：从混乱走向规范，安全能力最终内化为平台和系统的一部分。

但这条路需要时间。Windows、安卓的生态成熟都走了十年甚至更久。现在，攻击者手中的AI工具进化速度比以往任何时候都快。

早期，意味着还有补课的时间，但时间并不多。在给大模型和智能体更多权限前，企业也许应先检查一遍，家里的门有没有锁好。另外，通过网页版直接进入相关安全平台，可快速了解最新防护措施。本文来自微信公众号“财经杂志”，作者：吴俊宇，编辑：谢丽容，36氪经授权发布。