国家互联网应急中心发布AI大模型众测漏洞风险报告

据国家互联网应急中心最新消息，9月16日第22届中国网络安全年会上正式发布了国内首次AI大模型实网众测检验结果。此次活动动员559名专业白帽黑客，对国内10家主流AI厂商的15款大模型及应用产品展开全面漏洞测试，共发现281个安全漏洞，其中177个为大模型特有漏洞，104个为传统类型漏洞。现将典型漏洞风险及应对建议通报如下：

一、典型漏洞风险分析

（一）不当输出处理类漏洞危害显著

测试发现部分产品存在模型生成内容未经验证即被下游系统直接使用的问题，导致恶意指令执行风险。典型案例包括某大模型暴露的全回显SSRF漏洞，攻击者可借此接管服务器获取内网数据；另有模型因Python工具调用权限管理缺陷，引发系统崩溃、业务中断等严重后果。此类漏洞本质是模型缺陷与传统安全问题的复合形态。

（二）信息泄露类漏洞频发

通过构造特定输入，攻击者可诱导模型输出个人身份信息（PII）、凭证等敏感数据，甚至获取模型内部参数、安全规则等核心信息。实测中某大模型被曝配置文件及架构图泄露，导致任意用户账号接管和日志云服务控制权丧失。

（三）提示注入类漏洞成首要威胁

作为大模型最普遍的漏洞类型，提示注入通过构造特定输入绕过安全限制，具有攻击门槛低、成功率高的特点。攻击者无需编程基础即可通过对话实施攻击，且该漏洞常作为其他攻击类型的跳板，被业界视为AI安全的“头号威胁”。

（四）无限制消耗类攻击防护不足

部分大模型未对调用次数和速率设置合理限制，导致攻击者可通过批量创建会话耗尽系统资源。实测中某大模型因未限制API调用频率，造成正常用户服务中断。

（五）传统安全漏洞持续存在

测试发现传统漏洞占比达37%，包括任意用户登录漏洞（可导致管理员权限控制）、任意文件读取漏洞（可获取服务器控制权）、SQL注入漏洞（可进行数据库增删改查）等。这表明AI系统虽架构复杂，但其对外接口仍遵循传统软件逻辑，传统安全防护不可忽视。

二、安全防护建议

（一）强化技术防护措施

• 实施零信任原则，对模型输出进行强制验证编码，重点防护外链、代码执行等操作
• 建立严格的输入输出验证过滤机制，遵循最小权限原则
• 将敏感指令纳入安全配置库，拦截包含“system prompt”等关键词的查询
• 设置API调用分级限流，强制限制Token长度
• 加强供应商审计，定期评估第三方组件安全性
• 完善传统漏洞防护体系

（二）推进内生安全治理

传统“外挂式”防御模式难以应对AI系统动态演化风险，需将安全机制融入设计、研发、部署、运行全生命周期。通过建立内部防御体系，从源头筑牢安全基石，最终构建普惠、公平、安全、可信的人工智能生态，践行“以人为本，智能向善”的发展理念。