AI安全吹上天，漏洞全是老面孔

最近安全圈的三条新闻放在一起看，比单独看任何一条都有意思。

Anthropic宣布启动Cyber Mission，要用前沿Claude模型武装防守方；AWS紧急修复自家开源智能体编排平台Loom的三个漏洞；CNCERT通报54款大模型被测出873个漏洞，其中30.4%仍是传统安全漏洞。

一边是AI厂商高调宣布'AI保卫世界'，另一边是AI系统本身漏得千疮百孔，而且漏洞类型还是我们修了二十年的那几样。

核心判断一句话：AI安全不是一门全新的生意，它是老安全在新栈上的重演——只是这一次，堆栈更高、爆炸半径更大、留给防守方的时间更少。

🚀 Anthropic下场：防守方第一次拿到'前沿武器'

安全行业有个长期的隐痛：进攻方永远先用新技术。

过去两年，廉价LLM让钓鱼邮件质量倍增、让漏洞分析速度翻倍，攻击者的生产力红利肉眼可见。而防守方一直在'用旧工具对抗新武器'。Anthropic这次启动的Cyber Mission，本质上是把前沿模型的能力正式向防守侧倾斜。

这个计划有两个关键组件值得盯住：

一是关键基础设施防御计划（CIDP）。Critical Infrastructure Defense Program瞄准的是电力、水务、工控这类'被打穿就是社会事件'的目标。Anthropic不只给模型，还配套工程支持、威胁研究和资金投入——这不再是卖API，而是做'驻场安全团队'的姿态。

二是OSS Scanner，一个免费、需主动选择加入的开源软件扫描服务。开源供应链攻击是过去几年最痛的伤口（从log4shell到无数npm投毒事件），用模型规模化扫描开源生态，等于把一直缺人缺预算的开源安全审计，交给自动化。

据业内多人观察，这更像一次战略卡位：当监管对'AI被用于进攻'的审视越来越严，AI厂商必须证明自家模型有一套防守叙事。Cyber Mission就是这份答卷。

产业逻辑很清晰：模型厂商正在从'能力供应商'变成'安全责任方'。谁的模型被用来打穿了一家医院，谁的公关危机就最大。提前把'AI for Defense'做成品牌，既是商业选择，也是政治保险。

⚙️ AWS Loom翻车：智能体是新攻击面，漏洞却是老配方

故事换到防守的另一面——AI系统自己被人打。

AWS发布安全更新，修复其开源LLM编排平台Loom的三个漏洞。这三个漏洞的杀伤链条值得逐条看：未认证的管理员接管、OAuth2凭证泄露、访问内部服务。

翻译成人话：一个不需要登录的攻击者，可以直接接管整个智能体编排平台，顺走平台管理的OAuth2凭证，再借智能体的身份摸进内网。AWS强烈要求所有Loom部署和fork版本升级到1.7.0。

注意两个细节。

第一，Loom是开源的，AWS还特意提醒'所有fork版本'都要升级。开源+多分支分发，意味着补丁触达率天然是个问题——有多少组织fork了Loom之后自己改过、根本不在AWS的通报射程内？这是开源供应链安全的老问题，现在长在了AI智能体平台上。

第二，三个漏洞没有一个是'AI特有'的。未认证接管是访问控制缺陷，凭证泄露是密钥管理失败，内网横向是边界设计失误。全是教科书级的老问题。

这暴露了智能体平台的一个结构性风险：编排层是新的特权层。智能体要调用工具、要管理凭证、要打通内外网——它天然就是高权限枢纽。而做这个枢纽的团队，往往是从'让Agent跑起来'的心态出发，安全设计严重滞后于功能上线。

一句话：智能体的权限有多大，它的漏洞就有多贵。

📊 873个漏洞的冷数据：三成还是老病，剩下七成呢？

如果前面两条是案例，CNCERT的通报就是统计意义上的实锤。

54款大模型，873个漏洞。更值得玩味的是那个数字：30.4%仍是传统安全漏洞。

这个数据的正确读法有两层。

第一层是给从业者的：别神化AI安全。三成漏洞还是SQL注入式的老套路，说明大量模型服务的基础安全水位还停留在'功能优先、安全靠后'的早期阶段。做AI安全的第一课，仍然是把OWASP那套做扎实——访问控制、凭证管理、供应链治理。

第二层更扎眼：接近七成是AI相关漏洞，这部分才是新战场。提示注入、越狱、训练数据相关的风险、输出内容被利用……这些是新病，但新病不多到需要'另起炉灶'。正如业内一个流传很广的说法：AI安全不是新学科，是老学科的新增章节。

把三件事排在同一条时间线上，规律自己浮出来了：模型厂商开始做防守叙事，智能体平台暴露传统缺陷，监管侧用普查数据定调——整个行业正在同步完成一次认知校准：AI安全的底座是传统安全，增量部分才谈得上'新'。

💡 产业判断：预算会流向哪里，谁在抢跑

把镜头拉远，这三件事对产业格局意味着什么？

其一，安全预算会跟着攻击面走，而攻击面正在向'智能体栈'迁移。 Loom这类编排平台会成为下一轮漏洞披露的高发区。传统上买WAF、买EDR的预算，会有一部分转向Agent身份治理、凭证托管和编排层审计。做身份安全的公司如果只盯着人和SaaS账户，会错过'非人类身份'这个爆发中的品类——OAuth2凭证泄露这个漏洞类型就是最好的预告片。

其二，AI厂商的安全投入从'内敛'走向'外放'。 过去模型公司谈安全，多是讲自家RLHF怎么防越狱。Anthropic的Cyber Mission把安全叙事推到了关键基础设施和开源生态这样的公共领域——这是一种主动承担、也是主动圈地。可以预见，OpenAI、Google等头部玩家会跟进类似计划，'模型厂商的公共安全项目'会成为新的竞争维度，就像云厂商当年的漏洞赏金和安全认证竞赛。

其三，监管与产业的信息差正在被数据填平。 CNCERT拿出54款、873个这种规模的普查数据，等于给'AI安全有多严重'这个问题提供了官方基线。有基线，才有合规要求的细化空间。对中国市场而言，模型上线前的安全测评正在从'加分项'变成'入场券'，这会直接催生一批AI安全测评与整改的服务需求。

对安全从业者，我的建议朴素一点：别急着去学'AI安全'的新概念名词，先把访问控制、凭证管理、供应链治理这三件老事，在AI系统上重新问一遍——问一遍，你会发现新栈上的洞，比概念里的新多了。

小结

Anthropic在教防守方用AI，AWS在给AI系统打补丁，CNCERT在用数据说明AI系统的病一半是老病。三条线索合起来，指向同一个产业事实：AI安全的叙事正在降温、落地，回归工程本质。未来一两年，智能体编排层会成为漏洞披露的重灾区，'非人类身份'治理会成为身份安全的新增长点，而模型厂商之间的安全公共项目竞赛才刚刚开始。潮水退去，看谁穿着裤衩——这句话，现在轮到AI安全赛道来检验了。