模型被偷，智能体失控，谁踩刹车？

一周之内，三件事先后落地：OpenAI 披露一起手法『新颖』的模型蒸馏攻击；安全媒体提醒人们，别再无脑下载那些 AI 顺手搓出来的应用；Okta 牵头的新联盟则直接喊话——给 AI 智能体装一个『急停开关』。

三件事看似分散，指向却高度一致：AI 安全的战场，已经从『让模型不说坏话』，转移到了能力窃取、应用泛滥和智能体失控这三条真实的攻防线上。本文带你把这三条线索拆开看。

🚨 一纸披露，把矛头指向了月之暗面

没有硬证据的归因，只能当坐标，不能当结论。

据 CyberScoop 报道，OpenAI 近期公开披露了一起针对其模型的『蒸馏攻击』（distillation attack），攻击手法中最引人注目的部分，是一种被 OpenAI 称为『新颖』（novel）的加密绕过技术。更受关注的是归因：OpenAI 称，与月之暗面（MoonShotAI）有关联的个人参与了部分攻击活动。

但请注意关键限定——OpenAI 并没有拿出公开的硬证据。

这句话在安全圈里分量很重。归因是安全行业最难的一环，攻击手法可以复用、基础设施可以伪装、身份可以嫁接。多位安全研究者私下表示，厂商在披露事件时顺手把矛头指向一家高知名度的中国 AI 公司，即便最终被证实，也需要完整的技术证据链；在证据到位之前，这更像是『参考坐标』而非『最终判决』。对于被点名的公司而言，声誉影响却已经真实发生——这是安全披露与商业博弈纠缠不清的典型场景。

抛开归因争议，这次披露的技术内核更值得产业关注：连 OpenAI 这种防御投入最充足的公司，都会遭遇针对模型能力本身的系统性攻击。攻击者要的不再是数据，而是模型本身的能力。

🔍 蒸馏攻击：大模型时代的新型资产流失

在 AI 时代，最值钱的资产从数据库变成了模型能力本身。

先解释清楚什么是蒸馏攻击。『蒸馏』本是机器学习的正规技术：用一个强大模型的大量输出，去训练一个更小的模型，让小模型继承大模型的能力。这本来是降低推理成本的合理手段，但换到攻防视角，它就成了低成本『复刻』他人模型的捷径。

攻击链条大致是这样的：

这套流程里最扎眼的环节，是 OpenAI 所说的『加密绕过』。业界普遍猜测，这意味着攻击者找到了某种办法，让恶意调用行为躲过了基于加密通信或内容检测的防护层——具体细节 OpenAI 并未完全公开，但『新颖』这个措辞本身，就说明现有防御体系被绕开了一个此前未被重视的缺口。

这背后是一条清晰的产业逻辑：过去几年，模型厂商把护城河建在算力、数据和模型权重上，API 侧的防护主要是限流、指纹识别和异常检测。如果加密层本身能被用作掩护，那么基于『看得见流量内容』的传统风控就会失灵。模型能力的保护，会从一个技术话题变成一笔真实的预算——API 风控、行为基线、输出水印、调用溯源，这些以前只有大厂才做的事，正在变成所有模型服务商的标配支出。

一句话：数据泄露时代大家防的是『数据搬走』，模型时代要防的是『能力被抽走』。

⚠️ Vibe coding：人人都在造软件，谁来验货？

当写代码的门槛降到零，下载应用的门槛就应该升上去。

视角切换到下游。随着 AI 让任何人都能『凭感觉编程』（vibe coding），生成一个功能完整的应用已经从数月的工程，变成了一个下午的对话。海外安全媒体日前专门撰文提醒：在下载那些 shiny new app 之前，先做五项安全检查——因为 AI 让任何人都能造软件，也让任何人的数据都可能被一个粗制滥造的应用暴露出去。

这个提醒听起来朴素，背后却是一个被急剧放大的风险面：

• 开发主体泛化：不会写代码的产品经理、运营、学生，现在都是『开发者』；
• 代码质量失控：AI 生成的代码未经审计，密钥硬编码、权限滥用、数据明文上传都是高频问题；
• 分发渠道混杂：这些应用大量通过开源社区、小众渠道流通，绕过了传统应用商店的审核。

换句话说，开源供应链安全的旧问题——依赖投毒、恶意包、维护中断——正在被 vibe coding 以更大的基数重新放大。一个用户量几十人的小应用，可能随手就把通讯录和聊天记录发到了某个配置错误的服务器上。

对企业而言，这条线索的产业含义同样直接：影子 IT 的形态升级了。过去影子 IT 是员工偷偷用 SaaS，现在是员工用 AI 搓了个应用接进公司数据库。应用检测、生成代码审计、低代码/无代码平台的数据流管控，正在成为企业安全预算里的新增科目。

🛑 智能体，该装急停开关了

权限给出去容易，收回来难，这是身份安全的老问题在 AI 身上重演。

第三条线索来自身份安全厂商 Okta。为应对『失控智能体』（rogue AI agents）与『影子智能体』（shadow AI agents）带来的新型威胁，Okta 牵头组建了 Blueprint Alliance（蓝图联盟），核心主张直白而有力：企业应当为 AI 智能体建立『kill switch』——一套能识别异常 AI 活动并紧急中断其行为的机制。

这个联盟怎么把它落地？媒体梳理了企业可能的实施路径，可以拆成四层：

逻辑并不复杂：智能体首先要有身份——它是谁、代表谁、能碰什么资源；其次要遵守最小权限原则，不能拿着所有者的权限横冲直撞；再次要处于持续监测之下，一旦行为偏离基线（比如深夜批量拉取数据、访问无关系统），就触发熔断。

有意思的是主导者是谁。Okta 做了十几年身份与访问管理（IAM），从管员工账号、管机器身份，到今天管 AI 智能体——这是身份安全厂商最顺理成章的一次边界扩张。智能体本质上就是『有自主行为的非人类身份』，而身份恰恰是 Okta 的主场。

据接近行业联盟的人士透露，类似『智能体身份治理』的议题正在成为各安全厂商战略会议的常客，因为企业客户已经先于厂商感到了痛：智能体接入了太多系统，却没人说得清它到底在做什么。

📈 三条线索，拼出 AI 安全的下半场地图

防线从模型内部，扩展到了模型之外的一切。

把三件事放在一张表里，产业图景就清晰了：

三条线索的共同点是：它们都不再是『模型会不会说错话』的问题，而是围绕模型形成的新资产、新应用、新主体如何被治理的问题。换句话说，AI 安全的下半场，主战场在运行时——在 API 调用的流量里、在 AI 应用的下载链接里、在智能体每一次自主决策的瞬间。

时间线也说明了这个赛道提速之快：

• OpenAI 披露『新颖』加密绕过与蒸馏攻击，并归因月之暗面相关人员
• CyberScoop 等安全媒体跟进报道，引发归因与证据之争
• 安全媒体发文提醒用户下载 AI 生成应用前完成五项检查
• Okta 牵头 Blueprint Alliance，推动企业为 AI 智能体建立急停机制

对从业者而言，这是一个明确的择业与布局信号：模型安全工程师、非人类身份治理、生成代码审计，这些岗位和企业支出会持续升温。对普通用户而言，也不必焦虑——道理很简单：AI 降低了造软件的门槛，但没有降低验软件的必要。看到一个好用的 AI 应用，先问三个问题再下载：它要了什么权限？数据发去了哪里？开发者是谁？

安全行业的节奏从来没变过：攻击者先到一步，防御者追上来，产业在追赶中变大。这一轮，追的还是那批人，但赛道已经完全换了。

结语

蒸馏攻击、影子应用、失控智能体——三件事拼出的判断只有一句：AI 安全已经从实验室议题变成了产业刚需。下一步值得盯住的是两件事：模型厂商能否建立可公开验证的能力保护机制，以及智能体身份治理标准能否在联盟推动下真正落地。防线在扩张，机会也在扩张。