文章总结： 云晓春院士指出AI供应链安全是持续变化的系统行为，覆盖数据、模型、软件等七类资产，面临数据、模型及运行期动态三类风险。因高度复用与服务化，依赖关系深且隐蔽，攻击通过信任继承进入高价值环境。应对需前移防御重点，限制未知制品执行能力，建立小时级应急响应，并以透明度、完整性、可替代性和响应速度衡量成熟度。
综合评分： 88
文章分类： AI安全,供应链安全,解决方案,安全建设
中国工程院院士云晓春：AI供应链安全挑战及应对思考
内生安全联盟
2026年9月20日 16:43
江苏
在小说阅读器读本章
去阅读
在公众号小说中沉浸阅读
以下文章来源于中国信息安全
，作者向继志
中国信息安全
.
《中国信息安全》杂志，介绍国内外最新网络安全动态，深度解读网络安全事件。
注：图片由会议主办方提供
9月14日 ，2026年国家网络安全宣传周“网络安全技术高峰论坛”在山东国际会展中心举行。中关村实验室首席科学家、中国工程院院士云晓春在会上作了《AI的供应链安全形势及挑战》的主题演讲。以下为演讲主要内容。
尊敬的各位领导，各位专家，大家上午好。今天主要想跟大家探讨一下AI的供应链安全问题。
一、AI供应链安全的对象，是持续变化的系统行为
AI供应链安全的对象是持续变化的系统行为。它不但要保证组件可信，还要保证过程可信，行为可信。传统的清单式供应链治理主要回答了“装了什么”，AI供应链治理还必须回答“为何这样行动？何时发生变化？后果是否可控？”
二、AI供应链覆盖七类相互依赖的资产
包括数据、模型、软件、算力、平台、工具、服务，任何一类资产的来源、更新或权限变化，都可能改变最终模型的安全、合规和业务表现。
三、相比于传统的软件供应链，AI供应链多出三类动态风险
第一是数据风险，数据的输入是可塑造整个AI行为的，数据的来源、分布、标注、污染等不仅影响了模型质量，还可能嵌入偏差、后门与合规风险。第二是模型风险，模型的组件具有涌现行为，权重、适配器、检索内容这些组合可能会产生不可预期的涌现行为，所以我们单独运用单一的版本号来描述供应链是不够的。第三是AI的供应链在运行期仍会发生变化，通过策略与供应商更新可在不重新构建应用的情况下改变结果。因此，AI的构建不是一次构建，一次验收，是持续的配置和行为的管理。
四、高度复用与服务化让依赖关系更深、更隐蔽
AI的供应链有个非常鲜明的特点，是高度复用和服务化的。具体体现在：一是基础模型复用，大多数AI应用不会零开始训练，往往都是依赖于第三方的基础模型、适配器等。二是开源生态越来越加速，模型仓库、数据集和代码包提升创新速度，也带来仿冒来源、恶意文件和维护中断风险。三是AI云化、API服务化趋势越来越明显，模型、向量数据库、审核、搜索与监控以API交付，用户难以看到全部底层组件与变更。四是智能体可组合，工具、插件、MCP服务与多智能体形成运行期依赖，第三方组件可以影响动作与权限。五是算力与地缘的约束，芯片、云区域、网络、能源和出口限制影响容量、可替代性、连续性与数据边界。AI的供应链风险从“软件是否有漏洞”扩展为“关键能力是否透明、可替代，可验证”。
五、供应链攻击通过信任继承进入高价值环境
跟传统的供应链一样，AI供应链的攻击也是通过信任继承的方法进入到高价值环境中，当然它的上游入口，制品改变，合作分发，下游执行，业务后果都有其独特的特点。上游复用率高、制品难检查、下游权限高、更新自动化、事件跨组织、责任边界模糊等因素放大了攻击的风险。因此，对于供应链的攻击防御重点应前移到来源、构建、签名与验收，同时保留运行期发现和撤销能力。
六、部署边界应限制未知制品的执行能力与数据可达性
在安全部署上，因为前面的这种风险和攻击特点，部署的边界应该限制未知制品的执行能力和数据的可达性。典型的是要采用隔离加载的方法，对于未知或新版本制品先在无敏感数据，无外网，无长期凭证的环境中解析与试运行。模型服务、智能体工具使用独立工作负载身份与短期凭证，不能上来就完全信任它，部署前要验证签名、来源、评测、场景、数据级别、地域和批准有效期，保留已知安全版本、配置、路由和数据接口，支持熔断与供应商切换。
七、响应目标是识别所有派生制品并阻断继续信任
针对AI供应链攻击的应急响应一般包括确认、定位、遏制、验证、恢复以及协同六个步骤，在应急演练的时候，我们必须验证能不能在小时级回答“哪些系统正在使用受影响的组件”。
八、用透明度、完整性、可替代性和响应速度衡量成熟度
我们用“一旦出现供应链事件以后所导致的业务中断、数据暴露、错误决策和合规损失是不是持续下降的”衡量响应的效果。是，则说明这个响应是有效的，如果不是，说明这个响应是无效的。
九、国内外框架正在把供应链透明度转化为生命周期责任
我国《生成式人工智能服务管理暂行办法》要求使用合法来源的数据和基础模型；NIST将“价值链与组件集成”列为生成式AI风险；NTIA倡导数据表、模型卡、系统卡和独立评估。AI供应链治理趋势是，从原则性“可信”走向组件披露、独立评测、事件报告、变更管理与责任可追溯。
总的来说，AI供应链安全最终要证明“可信依赖能够产生可信结果”。我们需要看见完整链条，要绑定可验证的证据，随时准备变化与退出。清单让供应链可见，来源让制品可信，评测让行为可知，韧性让依赖可控。
我今天演讲到此结束，谢谢大家！
转载自：中国信息安全
【征稿启事】2026 IEEE网络韧性与内生安全国际会议（IEEE CRESS 2026）相约南京，诚邀投稿！
聚力协同发展 | 中国质量认证中心有限公司南京分公司正式加入联盟，成为副理事长单位
2026-06-17
2026-06-18
| 往期回顾
《科技日报》整版访谈邬江兴院士：将“安全基因”植入人工智能系统
邬江兴院士：构建内生安全质量检测体系，筑牢人类可控可信 AI 根基
人工智能内生安全让“千里马”跑得快又跑得稳——邬江兴院士解读AI安全应对新思路
200公里外的“新赛道”：邬江兴院士详解超低轨卫星，不拼芯片拼“组网”
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：内生安全联盟 《中国工程院院士云晓春：AI供应链安全挑战及应对思考》