一、热点速览
2026年国家网络安全宣传周期间，国家互联网应急中心（CNCERT）发布"2026年人工智能大模型安全众测"结果：2467名白帽子对国内25家AI厂商的54款大模型及智能体应用展开实测，累计挖出873个安全漏洞，其中AI特有漏洞608个、占比70%，传统漏洞265个、占比30.4%。提示注入、信息泄露、不当输出处理、代理身份权限滥用、代理目标劫持、非预期代码执行六类风险被点名为典型问题，AI应用安全从"打补丁"范式转向系统级原生安全设计。
二、参考文章
- 标题：54款大模型及智能体应用，被测出873个安全漏洞
- 来源：百家号（原文为《关于2026年人工智能大模型安全众测活动典型漏洞风险的通报》，CNCERT/CNVD相关渠道同步发布）
- 日期：2026-09-15（本次录入日期2026-09-19）
- 原始链接：https://baijiahao.baidu.com/s?id=1877020934618091869&wfr=spider&for=pc
三、泓萌量子解读
3.1 核心主题
这篇文章披露了2026年AI大模型安全众测的官方结果，核心讲的是：在真实在线运行的54款国产大模型及智能体应用上，实测出873个安全漏洞，其中七成是AI原生新型风险，而非传统Web/系统漏洞。
3.2 最重要信息

• 规模数据：2467名白帽子 × 25家厂商 × 54款产品 = 873个漏洞。为什么重要：这是国内迄今规模最大的一次AI产品"真靶场"众测，样本覆盖开源大模型、大模型应用、Claw类智能体三个赛道，具备行业基线意义。
  
• AI特有漏洞608个、占比70%，传统漏洞265个、占比30.4%。为什么重要：70%这个结构比例说明，AI安全的主战场已经不是"旧漏洞复现"，而是提示注入、Agent权限等新攻击面，传统WAF/SDL流程覆盖不到。
  
• 提示注入仍是最普遍风险，可经由模型读取的网页、文档中预埋恶意指令，被模型当作可信指令自动执行（间接提示注入）。为什么重要：这是"数据面投毒"直通"模型行为劫持"的链路，RAG/联网检索类应用首当其冲。
  
• 某大模型API密钥硬编码且泄露，暴露共享云平台上239个模型的API密钥。为什么重要：单点密钥泄露即可横向打击同云平台数百个模型，属于典型的供应链级放大风险。
  
• 智能体侧出现代理身份权限滥用、代理目标劫持、非预期代码执行，例如某智能体沙箱进程管理API暴露，可被以管理员权限执行任意系统命令。为什么重要：Agent把"模型输出"接入了工具调用与执行链路，模型侧漏洞直接升级为宿主系统RCE。
  

3.3 事实与观点
明确事实（官方通报口径）：
- 众测于2026年9月15日在国家网络安全宣传周发布，动员2467名白帽子；
- 测试对象为国内25家AI厂商的54款大模型及智能体应用产品，且为实时在线运行产品；
- 累计发现873个漏洞：AI特有漏洞608个（约70%）、传统漏洞265个（30.4%）；
- 通报列出六类典型风险：提示注入、信息泄露、不当输出处理、代理身份与权限滥用、代理目标劫持、非预期代码执行；
- 发布方同时公布了开源大模型、大模型应用、Claw类智能体三个赛道的"优秀产品"名单，定义为"发现漏洞风险较少、未发现严重或高危漏洞"。
作者/二次解读观点（非通报原文）：
- "做AI应用最该防的三类风险""给AI应用做安全不能再套用过去那套打补丁思路"——属媒体/技术博客的归纳性判断；
- "70%是最值得琢磨的数字"——为评论者观点，官方未给出该比例的解读性结论；
- "优秀产品是'较少'风险，不是'没有'风险，公开测试只能覆盖一部分攻击面"——属评论性提醒。
3.4 技术/产业信号拆解
- 漏洞结构信号：AI特有漏洞占比70%，标志漏洞治理对象从"边界与组件"迁移到"模型行为与Agent编排层"，对应新的检测能力需求（提示注入检测、输出校验、工具调用审计）。
- 攻击链信号：通报给出的链路可归纳为——间接提示注入（数据面）→ 模型行为绕过（模型面）→ 凭证/密钥窃取或工具调用（控制面）→ 越权/命令执行（宿主面），是一条完整"AI原生杀伤链"。
- 工程缺陷信号：API密钥硬编码、沙箱进程管理API暴露、任务接管机制跨域注入，均属传统安全工程实践在AI产品中的缺位，而非纯理论风险。
- 生态信号：25家厂商、54款产品、以在线真实产品为靶，说明国内已形成"官方组织+白帽众测+厂商响应"的AI漏洞协同治理雏形；CNVD渠道同步发布通报。
- 成熟度判断：本次为集中众测实测，不等同于"已在野大规模利用"，通报亦未披露利用统计，应视为已验证漏洞集合+厂商预警，而非在野攻击事实。
3.5 主体盘点与可信度评级
- 国家互联网应急中心（CNCERT）：众测组织与结果发布方 —— 监管通报（高可信）。
- CNVD（国家信息安全漏洞共享平台）：渠道同步转发通报与优秀产品名单 —— 监管通报（高可信）。
- 国家网络安全宣传周（主办/承办体系）：发布场合，设"人工智能安全治理论坛" —— 事实（官方活动）。
- 国内25家AI厂商、54款大模型与智能体产品：被测主体，通报未点名具体厂商与对应漏洞 —— 事实（数量与范围明确），具体映射原文未说明。
- 2467名白帽子及优秀测试团队：测试实施方 —— 事实（通报公布）。
- 二次解读媒体/技术博客（CSDN等）："打补丁思路失效""三类风险"等 —— 观点（中等可信，属归纳评论，非官方结论）。
- 漏洞成熟度评级：已验证（众测实测复现）；是否存在在野利用：原文未说明。
3.6 赛道路径定位
- 赛道：AI安全运营 + 安全护AI（面向大模型与智能体的原生安全），并延伸至软硬件漏洞供应链（共享云平台API密钥泄露的横向放大效应）。
- 层级：算法层（提示注入与对齐绕过）＋ 应用层（Agent工具调用、沙箱）＋ 运营层（众测、漏洞响应）＋ 合规层（网安周官方通报与治理导向），属多层叠加，非单一层次。
3.7 限制与风险
- 口径限制：70%为本次众测样本结构比例，不能外推为"全行业AI漏洞中七成是原生漏洞"。
- 归因缺口：通报以"某大模型""某智能体"匿名化描述，无法定位具体厂商与产品，企业无法直接对照自查。
- 覆盖限制：官方与评论均指出公开测试只能覆盖部分攻击面，"无严重漏洞"的名单不等于安全（原文用词为"较少"）。
- 修复节奏风险：提示注入类问题多源于架构与对齐机制，难以靠单点补丁根除；Agent权限模型若不做最小权限重构，代理目标劫持与越权会反复出现。
- 供应链放大风险：API密钥硬编码影响同云平台239个模型，属密钥治理缺失，若发生在第三方插件/开源组件链上，扩散更快。
- 误报与有效性争议：众测发现的高危漏洞是否均可稳定复现、修复验证完成度如何，原文未说明。
- 未涉及：量子计算/AI双向融合方向在本篇无实质内容，不可强行关联。
3.8 产品启示

• 把"模型行为"纳入安全边界：在模型输入输出两段建立确定性校验层（输入侧对检索内容做指令隔离与来源标记，输出侧做动作白名单与二次确认），而非仅依赖系统提示词与对齐。
  
• Agent按最小权限重构身份与凭证：为每个Agent分配独立、可轮换、可撤销的短期凭证，禁止跨Agent继承身份；把工具调用与宿主机执行置于真正隔离的沙箱，并对进程管理类API做默认关闭+审计。
  
• 建立AI资产的密钥与配置清点基线：对所有大模型应用与自研/第三方插件做硬编码密钥扫描、密钥集中托管与泄露应急轮换预案，把"239个模型共用一把钥匙"这类风险列入上线门禁。
  

3.9 信息缺口
- 具体25家厂商名称、54款产品型号、873个漏洞各自的CVE/CNVD编号与影响版本 —— 原文未说明；
- 608个AI特有漏洞在六类风险中的精确分布比例 —— 原文未说明；
- 各漏洞的修复状态、修复周期、复测结果 —— 原文未说明；
- 是否存在在野利用、是否造成实际数据泄露事件 —— 原文未说明；
- 涉及数据规模、是否含个人敏感信息（PII）的具体数量 —— 原文仅提及"诱导输出PII/凭证"，未给出量化 —— 原文未说明。
四、产业链坐标
- 国外版图：以OWASP LLM Top 10、MITRE ATLAS、NIST AI RMF等框架为方法论底座，Google DeepMind、OpenAI、Anthropic等厂商自建红队与漏洞赏金（如模型越狱专项），并叠加云厂商的AI安全护栏（Guardrails）与Agent运行时权限管控产品线。
- 国内版图：本次众测代表"官方牵头+平台化众测+厂商响应"的路径，CNCERT/CNVD承担组织与披露枢纽，形成类似SRC众测但对象为AI产品的公共机制。
- 位置与差距：国内在"组织化众测规模"（2467人/54款产品）上具备制度优势与样本优势；在标准化攻击分类（对标ATLAS/Top10）、Agent权限的工程化标准、跨厂商漏洞编号与复测闭环上，仍落后于成熟框架的体系化程度。整体看，AI原生安全治理国内处于"机制已建、标准未定、工具未熟"的中段。
五、趋势判断

• AI安全从"模型对齐"下沉到"工程与运行时"：提示注入、越权、RCE表明，AI安全的关键战场正在从训练侧对齐，转向推理侧的输入输出管控与Agent权限治理。
  
• 智能体安全将复刻Web安全史但节奏更快：身份、权限、会话、跨域、沙箱等老问题以Agent编排的新形态重现，预计会出现专门的Agent安全网关/权限中间件品类。
  
• 国家级AI漏洞众测走向常态化：以网安周为节点的年度众测，有望推动AI漏洞编号、披露与修复时限的规范化，形成"AI版CVE"的治理基础设施。
  

六、免责声明
本文内容基于公开网络信息整理，仅供参考，不构成投资建议。