3、AI资产盘点与分类：AI模型资产识别、训练数据资产识别、AI基础设施资产识别、资产分类分级标准
好，咱们进入第三个核心话题——AI资产盘点与分类。
说实话，我见过太多企业上来就搞AI安全，结果连自己有多少模型、数据放哪儿都说不清楚。这就像你要给房子装防盗门，结果连自己有几扇窗户都不知道，对吧？
所以，做AI安全的第一步，不是买防火墙，不是上加密，而是——搞清楚你到底有什么。
3.1 AI模型资产识别
模型是AI系统的核心。我习惯把模型资产分成三类：
- 自研模型：团队自己训练出来的，比如内部的推荐模型、风控模型
- 微调模型：基于开源模型（如Llama、BERT）做二次训练得到的
- 第三方模型：直接调用API的，比如GPT-4、Claude，或者买来的商业模型
每种模型的识别方式不一样。自研模型你得去翻训练记录、模型仓库；微调模型要查版本管理工具；第三方模型嘛，得看API调用日志和采购合同。
我的小技巧：建议用模型注册表（Model Registry）统一管理。我在项目中遇到过，某团队偷偷用开源模型做微调，结果模型泄露了都不知道。后来我们强制要求所有模型上线前必须注册，包括模型名称、版本、训练数据来源、部署位置。
识别模型资产时，重点关注这几个字段：
| 字段 | 说明 | 示例 |
|---|---|---|
| 模型ID | 唯一标识 | MOD-2024-001 |
| 模型类型 | 分类/生成/聚类等 | 大语言模型 |
| 训练框架 | PyTorch/TensorFlow等 | PyTorch 2.0 |
| 部署环境 | 生产/测试/开发 | 生产环境 |
| 负责人 | 谁在管这个模型 | 张三 |
3.2 训练数据资产识别
数据比模型更敏感。你想想看，模型参数泄露了，顶多被人复制一个；但训练数据泄露了，用户隐私、商业机密全没了。
训练数据资产识别，我建议从这几个维度入手：
- 数据来源：是爬虫抓的？用户产生的？还是买的第三方数据？
- 数据类型：文本、图像、语音、结构化数据？
- 敏感程度：是否包含PII（个人身份信息）、财务数据、医疗信息？
- 存储位置：在HDFS？S3？本地磁盘？
注意：我曾经帮一家金融公司做盘点，发现他们的训练数据里混着客户的身份证照片，而且就放在一个公开的S3桶里，连密码都没有。嗯，这要是被爬虫扫到，后果不堪设想。
数据资产识别，说白了就是给数据「上户口」。每个数据集都要有清晰的元数据：
# 数据资产登记示例
dataset:
name: "用户行为日志_v3"
source: "APP埋点系统"
size: "2.3TB"
records: "1.2亿条"
contains_pii: true
pii_fields: ["手机号", "设备ID", "地理位置"]
retention: "180天"
owner: "数据平台部"
3.3 AI基础设施资产识别
基础设施这块，很多人容易忽略。其实GPU集群、模型推理服务器、向量数据库、MLflow这些，都是攻击者的目标。
我习惯把基础设施资产分成四层：
- 计算层：GPU服务器、TPU、CPU集群
- 存储层：模型仓库、数据湖、特征存储
- 网络层：API网关、负载均衡、内部通信链路
- 平台层：MLOps平台、标注平台、实验管理工具
每一层都要识别出：
- 资产名称和版本
- IP地址或域名
- 开放端口和服务
- 访问控制策略
- 日志和监控状态
核心观点：基础设施资产盘点，不是IT部门的活，是AI安全团队必须亲自参与的。因为只有你才知道，那个Jupyter Notebook服务如果暴露在外网，意味着什么。
3.4 资产分类分级标准
好了，资产都识别出来了，接下来怎么分类分级？
我推荐用「业务影响 + 安全风险」两个维度来定级。说白了就是：这个资产如果出问题，对公司影响多大？被攻击的可能性有多大？
分级标准我一般这么定：
| 等级 | 定义 | 示例 | 保护要求 |
|---|---|---|---|
| L4-极高 | 核心业务模型，泄露即致命 | 风控模型、核心推荐模型 | 加密存储、严格访问控制、审计日志 |
| L3-高 | 重要业务模型，泄露影响大 | 客服对话模型、搜索排序模型 | 访问控制、定期审计 |
| L2-中 | 辅助业务模型，泄露影响有限 | 内部报表生成模型 | 基本访问控制 |
| L1-低 | 实验性模型，无敏感数据 | Demo模型、教学模型 | 公开可访问 |
分类维度我建议用这几种：
- 按业务域：风控类、营销类、客服类、研发类
- 按数据敏感度：含PII、含商业机密、公开数据
- 按部署位置：云端、本地、边缘设备
- 按生命周期：训练中、已上线、已下线
避坑指南：我曾经见过一个团队，把所有模型都标成L4。结果呢？安全团队根本管不过来，最后所有分级形同虚设。分级一定要有区分度，L4的资产不能超过总数的10%，否则就失去了意义。
最后说一句，资产盘点不是一次性工作。我建议每季度做一次增量盘点，每年做一次全量盘点。因为AI资产变化太快了，今天刚训练好的模型，明天可能就上线了。你不盯着，它就会从你的视野里消失。
嗯，资产盘点这块就聊到这儿。下一章咱们聊聊AI供应链安全，那又是一个大坑。