不久前，企业AI主要用于帮助员工提高工作效率。员工使用Copilot编写代码、汇总信息、生成内容和回答问题。随后，AI进一步深入企业，为内部助手和面向客户的应用提供支持。
如今，我们正进入一个本质上截然不同的阶段。智能体AI系统不再只是回答问题，还可以浏览内容、检索数据、调用API和工具、执行工作流并采取行动，有时只需极少的人工参与，甚至完全无需人工参与。
这意味着能力实现了显著跃升，同时攻击面也大幅扩大。我在“保护生产环境中的AI”演讲中探讨了这一主题。该演讲收录于“F5 Post-Mythos Security Summit”，F5将提供点播观看至10月31日。
“AI的能力不断增强，连接日益广泛，自主性也越来越高。问题不在于这是否会扩大攻击面，而在于安全策略能否随之拓展。”
当AI能够采取行动时，行为就会成为攻击面
传统应用的行为相对可预测。在相同条件下提供相同输入，通常可以预期得到相同输出。数十年来，安全团队一直在探索如何保护支撑这些交互的基础设施、应用、API、身份和数据。
AI改变了这一规律，因为其行为可能具有非确定性。对于AI应用，行为本身也会成为攻击面的一部分。
现代AI交互涉及诸多要素，包括提示词、模型、企业数据、API、检索增强生成（RAG）系统、工具、智能体及其执行的操作。每个连接点都可能成为发生问题或攻击者试图操纵系统的新环节。
风险多种多样。提示词注入可能影响AI系统的行为，过度自主权可能导致智能体执行超出预期范围的操作，而不安全的模型上下文协议（MCP）服务器和未经授权的工具使用，则可能增加访问敏感系统和数据的途径。此外，RAG工作流可能遭到操纵，AI应用也可能泄露敏感信息，或生成有害或不当的输出。
所有这些风险都加剧了组织已经面临的安全挑战。随着AI从副驾驶工具发展为面向客户的应用，再到自主智能体，组织不仅要继续应对现有风险，还会面临新的风险。
一场技术变革，两大不断扩大的攻击面
这一问题日益棘手还有另一个原因：组织面对的并非单一的AI攻击面。
第一类攻击面来自人们已经在使用的AI，以及日益广泛使用AI的智能体。第三方AI服务让企业各部门都能轻松使用功能强大的模型和工具。员工面临使用AI来提高工作速度和效率的压力，却往往不了解自己可能会暴露哪些信息，也不清楚特定AI服务会带来哪些风险。
简单封禁AI并不现实。员工会设法绕过限制，组织也可能因此让AI的使用更难被安全和IT团队发现。
第二个攻击面是组织自行构建和部署的AI。潜在暴露风险涵盖应用、模型、提示词、智能体、API、工具、企业数据及其相互交互。
有些故障可能在攻击者完全未介入的情况下发生，例如生成不安全的输出、意外泄露敏感信息，或智能体调用了不应调用的工具。另一些则是蓄意攻击，旨在操纵模型、污染知识源、提取信息，或诱使智能体执行非预期操作。
从客户、监管机构或安全团队的角度来看，这些后果可能非常相似。
不能以牺牲AI安全为代价推动AI创新
这给安全负责人带来了严峻挑战。各组织希望快速推进AI应用，而且这样做正变得越来越必要。但每一个新的AI应用、智能体、模型、工具和连接都可能带来传统安全方法无法应对的风险。
为解决这些问题，组织需要提高对不断扩大的AI攻击面的可见性和控制力，同时确保业务持续推进。无论AI交互发生在何处，都需要加以保护，并应对意外行为和恶意行为，实施适当的控制措施，同时避免为AI应用增设障碍。
F5相信，这些目标可以实现。我们开发了一套方法，旨在帮助组织发现、测试、治理和保护其所构建应用中的AI以及员工使用的AI，同时在AI交互实际发生的位置实施控制。
我将在F5线上Post-Mythos Security Summit的“您的AI如今已成为攻击面”专题演讲中深入探讨这一方法。我们将了解AI威胁形势如何变化、随着AI的自主性日益增强，组织需要保护哪些对象，以及F5如何在不阻碍AI采用的情况下，帮助组织保护AI应用、模型、智能体、工具、API和数据。
AI的能力越来越强，连接程度越来越高，自主性也越来越强。问题不在于这是否会扩大攻击面，而在于安全策略能否随之扩展。
欢迎参加我在F5 Post-Mythos Security Summit的分享，了解如何掌控新出现的AI攻击面。
相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
