AI攻击面：F5 Labs威胁研究揭示的发现

行业趋势 | 2026年8月13日

随着模型获得对工具、凭据、代码和生产系统的访问权限，AI攻击面正在扩大。F5 Labs在2026年4月至7月发布的研究清楚表明，企业AI风险不仅取决于模型是否可能被操纵，还取决于发生操纵或错误时，周边系统允许模型访问哪些资源以及执行哪些操作。

F5的研究表明，能力相近的模型可能具有截然不同的安全特征，这些特征在部署后可能发生变化；实用功能可能形成新的攻击路径，而权限过大可能使模型层面的弱点演变为业务事件。这种风险已不再停留在理论层面。在F5 Labs调查的事件中，攻击者操纵了由AI支持的账户恢复流程，更改了访问权限信息；另一起事件中，编码智能体删除了生产数据库及其备份。

对首席信息安全官（CISO）而言，这项研究的价值不在于回顾排行榜，而在于为模型选择、采购、持续保障，以及管控AI系统获准访问的资源和执行的操作提供实用经验。

F5 Labs采用两项互补指标来评估这些风险。F5 Comprehensive AI Security Index（F5 CASI）用于衡量对提示词注入和越狱攻击的抵御能力，F5 Agentic Resistance Score（F5 ARS）则用于衡量在智能体场景中抵御持续多步攻击的能力。两项指标的分值范围均为0至100，分值越高，表示抵御能力越强。

“F5研究表明，能力相近的模型可能具有截然不同的安全特征；这些特征可能在部署后发生变化；实用功能可能带来新的攻击路径；权限过大则可能使模型层面的弱点演变为业务事件。”

权限会将模型风险转化为业务影响

当周边系统允许执行可能造成重大后果的操作时，模型层面的弱点就会演变为业务事件。模型生成不安全的响应会带来风险；如果模型连接到代码、凭据、账户恢复工作流或生产数据，则可能引发业务事件。

在F5 Labs调查的一起案例中，一个编码智能体删除了生产数据库及其备份。在另一起案例中，攻击者操纵了由AI支持的账户恢复流程，更改了知名社交媒体账户的访问详细信息。关键问题不仅在于AI得出了错误结论，还在于周边系统允许该结论触发影响重大的操作。

从攻击者的角度来看，JadePuffer勒索软件行动进一步印证了这一点。由人员选择受害者、提供凭据并搭建基础设施，而智能体则自动执行了侦察、漏洞利用、横向移动和加密等环节中的大量工作。无需实现完全自主，部分自动化就已减少了所需的时间、技能和工作量。

对于首席信息安全官（CISO）而言，当前风险不仅在于自主性，还在于权限。应将AI智能体作为特权身份进行治理，包括严格限定凭据的权限范围、限制工具访问、持续监控，并要求高影响操作获得独立审批。接下来需要探讨的是，攻击者如何利用这些系统赖以发挥作用的行为特征。

实用功能也会形成攻击路径

F5 Labs研究发现，攻击者反复利用企业希望AI系统具备的行为特性。开发者角色攻击针对模型解读特权指令的方式。偏见越狱利用人口统计特征框架，暴露模型拒绝行为中的不一致；而话题桥接则利用对话的连续性，逐步引导模型从正当主题转向有害请求。

Adversarial Tales延续了同一模式：将有害操作步骤嵌入虚构叙事中，并要求模型分析故事，而不是响应明显带有恶意的请求。在来自9家提供商的26个前沿模型中，该技术的平均攻击成功率达到71.3%。

这些攻击以指令遵循、上下文推理、角色感知和内容分析能力为目标，而这些能力是企业合法用例的基础。这表明，实用功能也可能扩大AI攻击面。当攻击者能够在保留恶意意图的同时改变其呈现方式时，静态过滤器和已知的越狱攻击库将难以有效应对。

因此，有用的行为可能为操纵提供可乘之机，而权限和访问权则决定了潜在的业务影响。遭到操纵的可能性还取决于模型本身的韧性，而能力并不能准确反映这种韧性。

能力无法预测韧性

F5 Labs测试发现，能力相近的模型在安全性排名中可能分处两端，而同一系列中的模型也可能表现出显著差异。

最明显的例子来自Qwen3.5。其20亿参数模型的F5 CASI评分为1.28，而40亿参数版本的评分为80。同属一个模型系列，两者的评分却相差近79分。

最新测试进一步印证了这一规律。能力相对接近的旗舰模型在F5 CASI上的得分从93.08到16.25不等。F5 ARS数据提供了另一个维度：Qwen3.5-4B在F5 ARS上的得分为91.04，但在F5 CASI上的得分为58，平均性能为16%。这一差异表明，应将F5 CASI、F5 ARS和性能视为彼此独立且互为补充的信号。

对于首席信息安全官（CISO）而言，能力基准测试只能表明模型能否完成任务，并不能说明模型能否安全地完成任务。在采购期间及整个部署过程中，必须对每个模型及其版本进行独立评估。不过，模型选择只是第一项决策；安全团队还必须考虑韧性如何随时间变化。

AI安全态势在部署后可能发生变化

模型韧性并非一成不变。F5 Labs观察到，一个模型在一个月内下降了超过29个F5 CASI点，而另一个模型在考察期内的变动幅度超过55点。其他版本则相对稳定，因此一致性本身也是风险评估的一部分。

提供商可以在不更改面向客户的模型名称的情况下，更新系统提示词、分类器和安全控制措施。因此，模型看似没有变化，其安全态势却可能已发生重大改变。

这并非传统的补丁修复问题。如果模型的安全状况可能在没有新模型名称或可见部署事件的情况下发生变化，仅在某个时间点进行审批并不足够。提供商更新、配置变更或应用发生重大变化后，安全团队应重新评估模型，并持续验证周边控制措施是否仍然有效。

这种易变性使持续保障至关重要，但仅靠评估还不够。首席信息安全官还必须控制允许AI系统访问的内容及执行的操作。

CISO现在应采取的行动

这项研究最明确的结论是，权限决定影响。CISO应根据AI系统获准访问的资源和执行的操作对其进行治理，同时持续评估相关模型、控制措施和系统。

将AI智能体视为特权身份。盘点并限制其对凭据、工具、数据和生产系统的访问权限；要求高影响操作必须经过独立审批；记录每个会产生重大后果的步骤。
持续评估完整的AI系统。在采购期间及整个部署过程中，独立评估每个模型和版本；提供商或配置发生变更后重新评估；并测试网关、软件包、插件、工作流、身份和集成，而不只是模型。