873个漏洞，捅破AI安全窗户纸

最近一周，AI安全赛道接连落下三颗棋子。CNCERT通报54款大模型测出873个漏洞，其中30.4%居然还是传统安全漏洞；AWS紧急修复开源Agent编排平台Loom的三处漏洞，涉及认证绕过与凭证窃取；Anthropic则干脆推出长期计划Cyber Mission，把安全做成了战略业务。

三条线索看似分散，其实指向同一个判断：AI安全不是一门全新的学问，而是一张旧地图上新画的等高线。 谁先看懂这一点，谁就能少交学费。

📊 873个漏洞，三成是老问题

“AI安全的第一课，可能是把旧课本再读一遍。

先看最扎心的数据。CNCERT对54款大模型做了一次集中检测，测出873个漏洞。更值得玩味的是构成：30.4%依然是传统安全漏洞——注入、越权、配置不当这些老朋友，一个都没缺席。

这个数字直接打了两类人的脸。

第一类，是把AI安全讲成玄学的营销话术。过去两年，大量论坛演讲把大模型安全描述成需要全新范式的未知领域，越讲越像贩卖焦虑。但监管机构的实测数据摆在这里：每三个漏洞里就有一个，用你已有的漏洞管理流程就能抓出来。

第二类，是以为买了"AI专用防护盒"就万事大吉的采购决策者。检测能力的底座——资产盘点、输入校验、权限最小化、漏洞情报跟踪——并没有因为模型变了就失效。失效的是覆盖范围，不是方法论。

看一组构成就更清楚了：

即便只看占比更高的AI特有漏洞，很多本质上也是传统问题的"语义化变体"——提示注入之于注入类漏洞，就像Excel公式注入之于XSS：载体变了，攻击逻辑一脉相承。

产业逻辑很直白：AI安全的产品机会真实存在，但它的地基仍然是传统安全工程。 对甲方来说，第一步不是采购新框架，而是把大模型资产纳入现有的漏洞管理生命周期。做了十年渗透测试的人转AI安全，上手速度远比想象中快。

🤖 Loom三漏洞：Agent成了新的特权枢纽

“模型没被打穿，被打穿的是围着模型转的那一圈。

如果说CNCERT的数据讲的是"旧问题没走"，AWS这次修复Loom漏洞讲的就是"新问题来了"。

Loom是AWS开源的AI Agent编排平台。AWS在安全公告中披露并修复了三个漏洞，组合起来看相当凶险：

AWS强烈敦促用户将所有Loom部署及fork升级到1.7.0版本。注意"及fork"这三个字——开源项目被二次开发后，补丁往往停在原仓库，下游分叉成了滞后的孤岛。这是开源供应链安全里反复出现的死结。

把这三个漏洞画成攻击路径，问题就一目了然：

这张图揭示了一个正在形成的事实：Agent编排平台正在成为新的特权枢纽。 它握有模型调用权、工具执行权、第三方凭证池，一旦失守，攻击者拿到的不是一次对话的越权，而是一整支"自动化军队"的指挥权。这和当年堡垒机、CI/CD系统被盯上的逻辑一模一样——攻击者永远先打权限密度最高的节点。

据多位接近云厂商安全团队的人士私下讲，Agent平台的权限设计目前普遍粗糙：为了让Demo跑得漂亮，凭证常常一把梭地挂在编排层，最小权限原则在"智能体"面前让了步。Loom这次是公开修复了，没公开的同类问题，恐怕不止一份。

对从业者来说，判断很简单：你部署的每一个Agent编排器，都该按特权系统对待——独立网络区、凭证轮转、行为审计、认证面收敛，一样都不能少。这块工作，属于身份与访问安全的老手艺，只是对象换了。

🛡️ Anthropic下场：卖模型的开始背安全的账

“卖铲子的人，开始动手帮大家挖防御工事。

第三颗棋子来自供给侧。Anthropic正式启动Cyber Mission，一个面向关键基础设施与开源软件安全的长期计划。这不是一份安全白皮书，而是一个有编制、有投入的业务架构：

两个核心组件值得拆开看。

CIDP（关键基础设施防御计划）：面向能源、水务、金融这类一旦被打社会代价极高的领域，用前沿模型能力加工程支持做防御增强。这是模型厂商第一次把"关键基础设施"写进自己的业务版图，而不是留给传统安全厂商。

OSS Scanner：一个免费、opt-in（需主动开启）的开源软件扫描服务。注意"opt-in"的克制设计——不默认扫描，把选择权交给维护者，这既规避了隐私争议，也是对开源社区边界感的一次表态。

为什么Anthropic要下场？三层逻辑。

第一，治理责任前置。模型能力越强，被用于攻击面的潜在风险越高，与其被监管推着走，不如主动把"防御优先"做成产品叙事。CIDP本质上是把能力优势兑换成信任资产。

第二，开源供应链是天然的切入点。OSS Scanner选开源软件下手，是因为开源组件是最广泛的公共攻击面——一次上游投毒，下游成千上万的AI应用跟着遭殃。Loom的fork升级困境恰好证明了这块有多薄弱。

第三，竞争叙事。当模型能力差距逐渐缩小，"谁能更安全地部署"会成为企业客户选型的关键权重。安全正在从成本项变成模型厂商的差异化卖点。

据业内人士的说法，其他头部模型厂商内部都在评估类似的防御性计划，Anthropic只是先亮了牌。这场"谁更值得托付"的暗战，才刚刚开始。

🧭 三个信号，一张给从业者的行动清单

“新瓶装旧酒不丢人，喝错酒才丢人。

把三件事放到一张表里，脉络就清晰了：

三个信号分别来自监管侧、攻击面侧、供给侧，但拼出的是同一幅图：AI安全的重心，正在从"模型本身安不安全"转向"模型周围的系统安不安全"——编排平台、凭证管理、开源依赖、关键基础设施集成。

据此，给三类读者各留一句话的行动清单：

• 企业安全负责人：把大模型及Agent平台纳入现有漏洞管理流程，先盘资产，再谈采购；
• 开发者与开源维护者：Loom这次连fork都在催升级，检查一下你维护的依赖树里有没有停在旧版本的分叉；
• 安全厂商：别急着定义"AI安全新范式"，先回答客户一个朴素的问题——我现有的检测能力，能覆盖多少那69.6%之外的AI特有漏洞？

结语：地图没换，等高线密了

回到开头那873个漏洞。它最大的价值不是数字本身，而是把讨论从"AI安全是不是新赛道"的口水战，拉回到工程实践的地面上。

三成传统漏洞提醒我们旧方法没失效，Loom三漏洞提醒我们新攻击面在成型，Anthropic下场提醒我们供给侧的投入已经开闸。未来一年，Agent编排平台的安全加固、开源扫描服务的普及率、监管对大模型的常态化检测，会是观察这个领域成熟度的三个硬指标。

AI安全不会另起炉灶，但一定会重新画图。手里还攥着旧地图的人，现在补等高线，还来得及。