1. 课程导入：学习目标、课程结构、安全在AI部署中的重要性
1.1 为什么需要一门专门讲“AI部署安全”的课程
过去几年，AI模型从实验室走向生产环境的步伐明显加快。模型推理服务、特征平台、模型仓库、A/B实验系统、自动重训管道……这些组件共同构成了现代AI基础设施。然而，大多数团队的注意力集中在模型精度、推理延迟和资源利用率上，安全往往被推迟到上线前最后一刻才被想起——甚至在上线后才被发现漏洞。
一个残酷的现实是：AI部署管道比传统Web应用拥有更大的攻击面。它不仅包含常规的API网关、数据库和容器编排，还引入了模型文件、训练数据、特征存储、推理运行时、模型版本控制等新型组件。每一个环节都可能成为攻击者的切入点。更关键的是，AI系统的失败模式与传统软件不同——攻击者不一定需要拿到服务器权限，他们可能只是通过精心构造的输入让模型产生错误输出，或者窃取模型权重本身。
本课程的目标，是帮助你建立一套覆盖AI模型部署全生命周期的安全知识体系。从模型文件的完整性校验，到推理服务的运行时隔离；从训练数据的访问控制，到模型漂移的检测与响应——每一层都需要专门的安全设计。
1.2 学习目标
完成本课程后，你将能够：
- 识别AI部署管道中区别于传统Web应用的独特安全风险（模型投毒、提示注入、模型窃取、数据漂移攻击等）。
- 为模型注册、镜像构建、推理服务、特征管道等环节设计分层防御策略。
- 使用行业标准工具（如Sigstore、OPA、Falco、KServe安全配置等）加固AI基础设施。
- 制定模型部署安全的审计与应急响应流程，包括模型版本回滚、恶意输入拦截和模型漂移告警。
- 在DevOps/MLOps流程中嵌入安全门禁（Security Gates），实现“安全左移”。
1.3 课程结构总览
本课程共30章，分为五个模块。下面的SVG图展示了各模块之间的依赖关系与核心主题：
五个模块之间存在明确的依赖关系：模块一建立威胁模型和合规基线，是所有后续章节的基础；模块二聚焦于模型构建和存储阶段的安全控制；模块三关注推理服务运行时的动态防护；模块四从治理角度提供策略框架；模块五则通过实战演练将前四个模块的知识串联起来。
1.4 安全在AI部署中的核心重要性
为了理解安全为什么必须成为AI部署的一等公民，我们来看一个典型的攻击场景：
某金融科技公司使用开源预训练模型进行信用评分。攻击者向模型托管平台提交了一个“看似正常”的恶意模型权重文件，该文件在推理时会对特定人群产生歧视性评分。由于该公司在部署管道中未对模型文件进行签名验证，恶意模型通过了CI/CD检查并上线。直到监管机构介入调查，才发现模型已被投毒——但此时已有数万名用户受到影响。
这个案例揭示了AI部署安全的几个独特挑战：
- 模型文件是新型攻击载体——传统的病毒扫描和静态分析无法有效检测恶意模型权重。
- 供应链信任链更长——从数据标注、模型训练、镜像构建到推理部署，每个环节都可能被植入后门。
- 安全失效的后果更隐蔽——模型可能不会立即崩溃，而是逐渐产生偏差，导致业务决策错误。
1.5 安全与MLOps的融合：安全左移
传统安全实践往往在部署阶段才介入，但对于AI系统，这种模式已经失效。我们必须在模型开发阶段就引入安全控制。下表对比了传统部署与安全左移后的AI部署差异：
| 阶段 | 传统部署（安全滞后） | 安全左移的AI部署 |
|---|---|---|
| 数据准备 | 不检查数据来源合法性 | 数据血缘追踪 + 敏感数据自动脱敏 |
| 模型训练 | 仅关注精度指标 | 训练日志审计 + 模型行为验证 |
| 模型注册 | 直接上传模型文件 | 签名校验 + 漏洞扫描 + 模型卡 |
| 镜像构建 | 基础镜像不更新 | 基础镜像扫描 + 最小化依赖 |
| 推理部署 | 开放所有端口 | 网络策略 + 输入验证 + 速率限制 |
| 运行监控 | 仅监控CPU/内存 | 模型漂移检测 + 异常输入告警 |
1.6 常见误区与复盘
在开始正式学习之前，先澄清几个常见误区：
内部模型同样面临内部威胁（恶意员工、账号泄露）和外部攻击（通过API探测、侧信道攻击）。安全不是“外部威胁”的专利。
实际上，大部分安全控制（如输入验证、请求签名）可以在网关层完成，对推理延迟的影响小于5%。而一旦发生安全事故，恢复成本远高于预防成本。
AI系统的安全控制与模型架构紧密耦合。例如，如果模型服务没有设计请求日志记录，事后很难追溯攻击行为。安全必须在设计阶段就嵌入。
1.7 本章小结
本章我们明确了课程的学习目标、整体结构，并通过案例和对比表格说明了安全在AI部署中的核心地位。关键要点：
- AI部署管道具有独特且更大的攻击面，不能简单套用传统Web安全方案。
- 安全必须贯穿数据、模型、镜像、运行时、治理五个层面。
- 本课程采用模块化递进结构，从威胁建模到实战运营，逐步构建完整的安全能力。
- 安全左移是AI部署的最佳实践，需要在每个阶段嵌入安全门禁。