不久前，企业AI主要用于帮助员工提高工作效率。员工使用AI助手编写代码、汇总信息、生成内容和解答问题。随后，AI进一步融入企业，为内部助手和面向客户的应用提供支持。
如今，我们正迈入一个与以往截然不同的阶段。智能体AI系统不再只是回答问题，还能浏览、检索数据、调用API和工具、执行工作流并采取行动，有时仅需少量人工参与，甚至无需人工介入。
这标志着能力的巨大飞跃，也意味着攻击面的显著扩大。关于这一话题，我在F5 Post-Mythos Security Summit的“保障生产环境中的AI安全”演讲中进行了探讨。F5提供此次峰会的点播内容，可观看至10月31日。
“AI的能力日益增强，连接日益广泛，自主性也不断提升。问题不在于这是否会扩大您的攻击面，而在于您的安全策略能否随之扩展。”
当AI能够采取行动时，行为就成为攻击面
传统应用的行为相对可预测。在相同条件下提供相同输入，通常可以预期得到相同输出。数十年来，安全团队一直在探索各种方法，保护这些交互所涉及的基础设施、应用、API、身份和数据。
AI改变了这一局面，因为其行为可能具有非确定性。对于AI应用而言，行为本身也成为攻击面的一部分。
现代AI交互涉及诸多要素：提示词、模型、企业数据、API、检索增强生成（RAG）系统、工具、智能体，以及智能体执行的操作。每一处连接都增加了一个可能出问题、或被攻击者用来尝试操纵系统的环节。
风险多种多样。提示注入可能影响AI系统的行为，过度授权可能使智能体采取超出预期范围的行动，而不安全的模型上下文协议（MCP）服务器和未经授权的工具使用可能增加访问敏感系统和数据的途径。同时，RAG工作流可能遭到操纵，AI应用可能泄露敏感信息，或生成有害或不当的输出。
这些风险进一步加剧了组织现有的安全挑战。随着AI从辅助助手发展为面向客户的应用，再发展为自主智能体，组织既要应对原有风险，也要面对新增风险。
一次技术转变，两个不断扩大的攻击面
这一问题变得如此棘手，还有一个原因：组织面对的并非单一的AI攻击面。
首先是人们已经在使用的AI，智能体也越来越多地使用这类AI。第三方AI服务让企业各部门都能便捷地获取功能强大的模型和工具。员工面临着利用AI加快工作速度、提高效率的压力，却往往不了解自己可能会暴露哪些信息，也不清楚某项AI服务会引入哪些风险。
一味封禁AI并不现实。人们会寻找绕过限制的方法，而组织则可能因此让AI使用进一步脱离安全和IT团队的视野。
第二类攻击面是组织自身正在构建和部署的AI。在这一领域，潜在的风险暴露范围涵盖应用、模型、提示词、智能体、API、工具、企业数据及其相互交互。
有些故障可能在没有攻击者介入的情况下发生，例如生成不安全的输出、意外泄露敏感信息，或智能体调用不该调用的工具。另一些则是蓄意攻击，旨在操纵模型、对知识源投毒、提取信息，或使智能体执行非预期的操作。
在客户、监管机构或安全团队看来，这些后果可能极为相似。
不能以牺牲AI安全为代价推动AI创新
这给安全负责人带来了一项艰巨挑战。组织希望快速推进AI应用，而这一需求也日益迫切。但每一个新增的AI应用、智能体、模型、工具和连接，都可能引入传统安全方法在设计时未曾考虑应对的风险。
为应对这些问题，组织需要提升对不断扩大的AI攻击面的可见性和控制能力，同时让业务持续推进。无论AI交互发生在何处，都需要加以保护，同时应对意外行为和对抗性行为，并实施适当的控制措施，避免为AI采用增添障碍。
F5相信，有方法可以实现这一目标。我们开发了一套方法，旨在帮助组织发现、测试、治理和保护其自建应用中的AI以及员工使用的AI，同时在AI交互实际发生的环节提供管控措施。
我将在F5线上Post-Mythos Security Summit的“您的AI如今已成为攻击面”专题演讲中，深入探讨这一方法。我们将分析AI威胁态势的变化、随着AI的自主代理能力不断增强，组织需要保护哪些对象，以及F5如何帮助组织保护AI应用、模型、智能体、工具、API和数据，同时不阻碍AI的采用。
AI的能力不断增强，连接日益广泛，自主性也越来越高。问题不在于这是否会扩大攻击面，而在于您的安全策略能否随之扩展。
欢迎与我一同参加F5 Post-Mythos Security Summit，了解如何掌控新的AI攻击面。
相关博客文章
WAF和API发现技术在保护智能体AI应用中的作用
智能体AI系统的功能和集成会在运行时快速变化。要以同样的速度保障其安全，需要通过API发现和Web应用防火墙（WAF）实施切实可行的控制措施。
