随着大语言模型（LLM）和生成式 AI 的快速发展，企业对 AI 基础设施的需求呈爆发式增长。然而，AI 工厂（AI Factory）——支撑 AI 训练与推理的核心 IT 环境——也正在成为网络攻击者的重点目标。Check Point 于近日发布了 AI 工厂安全架构蓝图，为企业构建安全可信的 AI 基础设施提供了系统性指导。
AI 工厂面临的安全挑战
AI 工厂与传统数据中心有本质不同，其安全挑战更为复杂：
- 攻击面急剧扩大：AI 工厂涉及数据采集、模型训练、模型部署、推理服务等多个环节，每个环节都引入新的攻击向量。
- 数据敏感性极高：训练数据往往包含企业核心知识产权、商业机密甚至个人隐私，数据泄露的后果极为严重。
- 供应链复杂：开源模型框架、第三方预训练模型、外部数据集等供应链环节多，来源验证困难。
- 实时性要求高：推理服务对延迟敏感，安全检测不能影响模型响应时间。
- 算力基础设施特殊：GPU 集群、RDMA 网络、高速存储等基础设施的安全管理需要专门方案。
📌 真实事件：AI 工厂已成为攻击目标
2025 年，多个云服务商的 AI 训练环境遭到针对性攻击，攻击者尝试窃取训练数据集和模型权重。某研究机构的 LLM 训练任务被植入后门模型，对特定提示词产生系统性偏差输出。这些事件表明，AI 工厂的安全防护已刻不容缓。
Check Point AI 工厂安全架构蓝图
Check Point 提出的 AI 工厂安全架构分为四个核心层次：
第一层：数据安全
训练数据是 AI 工厂的核心资产。Check Point 建议：
- 对训练数据进行分级分类，识别敏感数据并进行脱敏或加密处理
- 建立数据溯源机制，保障训练数据的来源可审计、不可篡改
- 使用可信执行环境（TEE）保护训练过程中的数据安全
- 对数据管道各环节进行完整性校验，防止数据投毒攻击
第二层：模型安全
模型本身也需要保护，包括防范：
- 模型窃取：通过 API 调用频率分析或模型逆向工程窃取模型权重
- 后门植入：在训练过程中植入隐蔽后门，影响模型特定场景下的输出
- 对抗样本：构造特殊输入使模型产生错误预测或生成有害内容
- 提示词注入：通过恶意提示词操控生成式 AI 的输出内容
第三层：基础设施安全
AI 工厂的底层基础设施包括 GPU 集群、高速网络、分布式存储等：
- GPU 节点间的安全通信与隔离，防止横向移动攻击
- 对容器镜像和 Kubernetes 编排进行安全加固
- RDMA 网络的访问控制与流量监控
- 模型权重与训练检查点的加密存储
第四层：运营安全
AI 工厂的持续运营需要完善的安全运营体系：
- 模型行为监控：检测模型输出异常，及时发现模型被攻击或篡改
- 日志与审计：完整记录模型推理请求、训练作业、数据访问等关键操作
- 威胁情报联动：接入 Check Point ThreatCloud 等全球威胁情报网络
- 应急响应预案：制定 AI 工厂安全事件的处置流程与角色分工
关键防护建议
基于 Check Point 的架构蓝图，我们建议企业 AI 负责人重点关注以下措施：
| 优先级 | 防护措施 | 说明 |
|---|---|---|
| P0 - 紧急 | 训练数据分级与脱敏 | 在数据进入训练流程前完成分级，避免敏感数据直接参与训练 |
| P0 - 紧急 | 模型访问鉴权 | 对模型推理 API 进行严格认证与授权，防止未授权调用导致的数据泄露 |
| P1 - 重要 | 提示词输入过滤 | 在用户输入进入模型前进行安全过滤，防止提示词注入攻击 |
| P1 - 重要 | 模型行为基线监控 | 建立正常输出基线，检测模型输出异常波动，及时发现被攻击或篡改 |
| P2 - 常规 | 供应链安全审计 | 对引入的第三方模型、数据集、框架进行安全审计与签名验证 |
| P2 - 常规 | GPU 集群网络隔离 | 划分专门的安全域，对 GPU 节点间通信实施仅必要授权的访问控制 |
结语
AI 工厂安全是 AI 时代的新课题。Check Point 的架构蓝图为企业提供了一个系统化的参考框架，但具体落地仍需要根据企业实际情况进行定制。安全不是阻碍 AI 发展的阻力，而是 AI 放心落地的保障。
VISBAT 专注于企业级网络安全解决方案，可帮助您评估现有 AI 基础设施的安全风险，设计并实施适合您业务的安全架构。如有需求，欢迎联系我们的安全专家。
🔧 相关产品与方案
常见问题
AI 工厂相比传统数据中心有几个本质差异：攻击面更大——涉及数据采集、模型训练、模型部署、推理服务等多个环节，每个环节都引入新的攻击向量；数据敏感性更高——训练数据往往包含企业核心知识产权、商业机密甚至个人隐私；供应链更复杂——开源模型框架、第三方预训练模型、外部数据集等来源验证困难；实时性要求更高——推理服务对延迟敏感，安全检测不能影响模型服务质量。需要专门针对 AI 场景的安全架构来应对这些挑战。
防止训练数据被投毒或窃取需要多层措施：对训练数据进行分级分类，识别敏感数据并进行脱敏或加密处理；建立数据溯源机制，保障训练数据的来源可审计、不可篡改；使用可信执行环境（TEE）保护训练过程中的数据安全；对数据管道各环节进行完整性校验，防止数据投毒攻击；模型权重与训练检查点加密存储，防止模型权重被窃取。
提示词注入（Prompt Injection）是一种通过在用户输入中植入恶意指令来操控生成式 AI 输出内容的攻击手法。攻击者可以在提示词中注入隐藏指令，让 AI 执行非预期的操作，如泄露敏感信息、绕过安全限制或执行未授权操作。防护措施包括：在用户输入进入模型前进行安全过滤和输入验证；使用输出过滤器检测异常输出；对 AI 系统实施最小权限原则；建立模型行为基线监控，检测输出异常波动。
AI 模型本身需要保护的内容包括：模型权重——防止通过 API 调用频率分析或模型逆向工程窃取模型权重；模型完整性——防止在训练或部署过程中被植入后门，影响特定场景下的输出；对抗样本防护——防止攻击者构造特殊输入使模型产生错误预测或生成有害内容；API 访问控制——对模型推理 API 进行严格认证与授权，防止未授权调用导致的数据泄露。
GPU 集群安全相比普通服务器有特殊要求：GPU 节点间的安全通信与隔离，防止横向移动攻击；容器镜像和 Kubernetes 编排的安全加固，防止恶意容器逃逸；RDMA 网络的访问控制与流量监控，防止通过高速网络发起攻击；模型权重与训练检查点的加密存储；GPU 资源配额管理，防止恶意占用算力资源进行加密货币挖矿或攻击。
AI 安全运营与传统安全运营的主要区别在于：威胁类型不同——AI 系统面临特有的威胁如提示词注入、对抗样本、模型窃取、训练数据投毒等；响应速度要求更高——AI 系统通常对延迟敏感，安全响应不能影响模型服务质量；可解释性要求更强——金融、医疗等受监管行业对 AI 决策有可解释性要求，安全事件调查需要追溯模型输出逻辑；持续监控更复杂——需要同时监控网络安全指标和模型行为指标。
引入第三方 AI 模型或 API 时需要注意：数据控制权丧失风险——将企业数据发送到外部 AI 服务可能导致数据控制权丧失；供应链安全——第三方模型、数据集、框架可能存在隐藏的后门或漏洞；合规风险——数据传输可能违反《个人信息保护法》《GDPR》等数据保护法规；供应商依赖风险——模型 API 停服或价格剧变可能影响业务连续性。建议对引入的第三方模型、数据集、框架进行安全审计与签名验证。
企业建立 AI 安全整体框架应从四个层次入手：数据安全层——对训练数据进行分级分类、加密和溯源管理；模型安全层——保护模型权重、防范后门植入和对抗样本攻击；基础设施安全层——GPU 集群安全、容器安全和网络安全；运营安全层——模型行为监控、日志审计、威胁情报联动和应急响应预案。AI 安全是网络安全体系的延伸，企业应先保障基础网络安全、数据加密和访问控制等基础设施到位。
本文内容参考 Check Point 官方 AI 工厂安全架构蓝图及公开披露信息撰写。如需了解更多 AI 安全与网络安全方案，欢迎联系 VISBAT维思贝特。可为企业开展等保及其他安全合规建设提供技术支持。
