3. 安全威胁概述
AI部署流水线并非一条孤立的“模型打包→上线”通道，而是一条横跨代码仓库、构建系统、镜像仓库、容器编排、模型存储与推理服务的复杂供应链。攻击者并不需要攻破你的算法，他们只需要找到流水线中某个防护薄弱、权限过宽、依赖可疑的环节，就能完成投毒、劫持或数据窃取。理解威胁，首先要从攻击面的分布开始。
3.1 攻击面全景：流水线的五个核心区域
我们将AI部署流水线划分为五个核心区域，每个区域都有其专属的资产、信任边界与暴露面。下图展示了这五个区域及其主要风险入口。
图中五个区域并非孤立存在，攻击者往往从最薄弱的入口进入，然后沿着流水线向下游移动。例如，一个被污染的Python依赖包，可以在构建阶段被执行，进而篡改模型训练脚本或镜像内容，最终影响生产环境中的推理结果。
3.2 核心威胁分类与攻击路径
从攻击者视角出发，AI部署流水线面临的主要威胁可归纳为以下四类：
| 威胁类别 | 典型攻击手法 | 影响阶段 | 危害等级 |
|---|---|---|---|
| 供应链投毒 | 恶意依赖包、镜像后门、模型替换 | 代码→构建→仓库 | 严重 |
| 配置与权限滥用 | RBAC错误、密钥泄露、存储桶公开 | 部署→运行 | 高 |
| 数据与模型窃取 | 模型提取、训练数据窃取、成员推断 | 推理服务 | 高 |
| 可用性破坏 | GPU耗尽、推理请求洪泛、容器逃逸 | 运行阶段 | 中高 |
3.3 典型案例：一次完整的流水线攻击复盘
2023年某金融科技公司遭遇的AI模型投毒事件，完整展示了攻击者如何利用流水线薄弱环节实现端到端入侵：
攻击时间线：
- 入口（第3天）：攻击者在PyPI上发布了一个与公司内部使用的
data-transform库同名的恶意包data-transf0rm（数字0代替字母o）。一名数据工程师在安装依赖时拼写错误，引入了恶意包。 - 横向移动（第5天）：恶意包中的代码在CI构建环境中执行，窃取了
~/.docker/config.json中的镜像仓库凭据，并上传到攻击者服务器。 - 持久化（第7天）：攻击者使用窃取的凭据登录镜像仓库，将生产环境使用的
fraud-detection:latest镜像替换为包含后门程序的版本。后门会在模型加载时执行，将部分交易特征数据发送到外部服务器。 - 影响（第12天）：安全团队发现异常流量，但此时已有约3.7万条交易记录被外传，模型对特定类型欺诈的检测率下降了18%。
复盘发现，该公司的流水线存在三个关键漏洞：依赖锁定不严格（未使用哈希校验）、镜像仓库缺乏签名验证、CI环境权限过大（可直接访问生产镜像仓库）。任何一个环节的防护到位，都能阻断攻击链。
3.4 常见误区与防护认知
误区一：认为“模型本身是安全的”
很多团队只关注模型算法层面的鲁棒性，却忽略了模型文件在存储和传输过程中可能被替换。一个被篡改的模型文件，其行为可能与预期完全相反，且难以通过常规测试发现。
误区二：依赖“内网隔离”就高枕无忧
现代流水线大量使用SaaS服务、公共镜像仓库和开源依赖，内网边界早已模糊。2024年针对某AI公司的攻击，正是通过一个暴露的Jupyter Notebook端口进入内网，进而横向移动到模型训练集群。
正确认知：AI部署流水线的安全需要“纵深防御”。在每一层都设置独立的验证机制——依赖锁文件校验、镜像签名验证、模型哈希比对、最小权限RBAC、运行时异常检测——即使某一层被突破，攻击者也无法轻易到达核心资产。
3.5 攻击面优先级评估
并非所有攻击面都需要同等投入。根据实际攻防经验，以下攻击面最常被利用，应优先加固：
- 依赖与包管理（最高优先级）：实施严格的依赖锁定（
pip freeze+ 哈希校验）、私有镜像仓库、定期漏洞扫描。 - CI/CD凭据管理：使用短期令牌、密钥管理服务（如Vault）、禁止在CI日志中输出敏感信息。
- 模型文件完整性：对模型文件计算SHA-256哈希，在加载时验证签名；使用模型版本管理工具（如MLflow）记录元数据。
- 推理服务入口：部署API网关进行速率限制、输入校验、认证鉴权；对GPU资源设置配额。