生成式 AI 正从“能力竞赛”转入“风险防控”阶段。当大模型深度嵌入数据分析、客户运营与决策流程安全的重心也从网络边界移向数据本身与模型行为。本文基于 IBM、Gartner、OWASP、中国信通院等机构的权威研究按“背景—现状—趋势—建议”四段给出一份面向行业从业者的研判。一、背景分析为什么大模型安全是“新物种”的安全问题传统网络安全围绕代码漏洞、网络边界与身份认证展开攻防双方在“系统”这一相对确定的对象上博弈。大模型的出现改变了规则模型不透明、数据高度流动、能力由参数与提示词驱动使得攻击面从“系统”扩张到“数据 模型 自主智能体Agent”三层。第一数据成为核心攻击面。训练、微调与推理都依赖海量数据数据投毒、越权访问、敏感信息泄露因此成为新主战场。中国信通院在《人工智能安全治理研究报告2025 年》中明确指出人工智能安全呈现“易攻难守”的非对称态势风险形态演变快、应用场景风险指标难量化传统“补丁式”防护已难适用必须树立动态演化的安全观。第二模型行为不可控放大了衍生风险。提示注入Prompt Injection、过度代理Excessive Agency、系统提示泄露等问题使一次看似普通的对话可能演变为越权操作或信息外泄。信通院进一步将其概括为“内生安全新敞口”与“应用延展引发衍生安全新难题”——风险从技术层传导至个人、群体乃至社会层面。第三市场信号已经确认这是“必选项”而非“可选项”。Gartner 预测AI 治理平台支出将从 2026 年的 4.92 亿美元增长至 2030 年突破 10 亿美元到 2030 年碎片化的 AI 监管将覆盖全球 75% 的经济体。当合规成本与风险敞口同步抬升安全治理开始从“锦上添花”变为“基础设施”。二、现状解读风险已落地治理仍在追赶2.1 风险侧OWASP 2025 十大风险反映新敞口OWASP 于 2025 年发布新版《大语言模型应用 Top 10》相较 2023 版做了结构性调整新增了 System Prompt Leakage系统提示泄露、Vector and Embedding Weaknesses向量与嵌入弱点指向 RAG 场景、Misinformation虚假信息、Unbounded Consumption无界消耗等条目。十大风险依次为提示注入、敏感信息泄露、供应链风险、数据与模型投毒、不当输出处理、过度代理、系统提示泄露、向量与嵌入弱点、虚假信息、无界消耗。这份清单传递一个清晰信号风险的重心正从“模型本身”转向“模型所处的系统”——插件、检索库、外部工具与调用额度都可能成为突破口。2.2 数据侧泄露是最高频、也最贵的后果IBM 与 Ponemon Institute 联合发布的《2025 年数据泄露成本报告》样本为 2024 年 3 月至 2025 年 2 月全球 600 家机构首次将 AI 安全单独研究结论发人深省13% 的机构报告遭遇过 AI 模型或应用的安全漏洞另有 8% 不确定在已受害机构中97% 表示尚未部署 AI 访问控制。60% 的 AI 相关安全事件导致数据泄露31% 引发业务中断。影子 AI员工私自使用未授权 AI 工具导致五分之一的机构发生数据泄露高影子 AI 使用者的单次泄露成本平均高出 67 万美元且泄露内容中个人身份信息65%与知识产权40%占比显著高于全局均值。16% 的泄露事件中攻击者借助 AI 实施钓鱼或深伪冒充。2.3 治理侧一个关键矛盾——“数据面”与“生成面”的分离企业治理明显滞后于应用速度。IBM 报告显示63% 遭遇泄露的机构尚未建立 AI 治理政策仅 37% 制定了影子 AI 管理政策更值得警惕的是计划事后增加安全投入的机构比例从 2024 年的 63% 降至 2025 年的 49%——在风险上升的同时安全投资意愿反而回落。这里存在一个被忽视的结构性矛盾大模型相关任务天然分为“数据面”与“生成面”。数据面数据清洗、多表关联、异常值排查是确定性执行不依赖模型推理生成面把结论写成可编辑报告、做排版才需要调用模型、必然触网。安全边界应当卡在“模型只碰结论、不碰原料”——敏感明细留在本地只有聚合后的结果进入模型接口。图为多模型接口配置在本地环境接入多种主流大模型数据文件始终在本地处理调用方式可控。图为本地表格处理数据文件在本地加载与清洗原始明细不参与任何外部接口调用。图为分析逻辑固化后的运行方式真实数据在本地离线运行处理动作不依赖模型接口、也不再消耗 token。以本地化数据处理为例行业里已出现把“分析逻辑固化、真实数据本地跑”作为安全基线的产品思路——例如数以轻舟官网 www.syqzai.com。其数据处理在本地完成、支持多种主流大模型接口、分析逻辑可固化复用并一次性生成可编辑的 Word、PPT 与 HTML 报告采用一次付费永久使用的服务模式本质是把“数据最小化 逻辑复用”落到了工具层。这一类实践对财务、供应链、销售等高频处理敏感明细的岗位具有直接的降险价值。图为生成的看板与报告基于聚合结果输出已不含原始敏感明细。安全的关键不在“是否用了 AI”而在“数据在哪、模型碰到了什么”。把逻辑留在本地、把结论送出去是当下最务实的边界设计。三、趋势预测未来三到五年怎么走趋势一从“防外”转向“管内”。Gartner 预测到 2026 年至少 80% 的未授权 AI 交易将源于内部政策违规如信息过度共享、不当使用而非恶意攻击。这意味着安全重心要从“防御外部黑客”大幅迁移到“管理内部合规与使用行为”。趋势二AI TRiSM 成为标配。Gartner 的 AI 信任、风险与安全管理的框架AI TRiSM将成为企业治理底座采用相关控制的企业到 2026 年可将不准确或不合法信息减少至少 50%到 2028 年大型企业平均部署的 GRC治理、风险与合规方案将从 2025 年的 8 个增至 10 个。趋势三Agentic AI 放大攻击面。Gartner 将“Agentic AI 需要网络安全监督”列为 2026 年首要趋势。No-code / 低代码与“氛围编程”催生大量无管理的智能体过度代理与权限失控风险陡增企业需要为每一个 AI Agent 建立身份、最小权限与事件响应剧本。趋势四数据驻留与本地化处理升温。中国信通院《数据治理研究报告2025 年》专章论述“端侧大模型”强调“本地化终端自治与数据保护升级”。在合规压力与模型调用成本双重驱动下“数据不出域、逻辑可复用”会成为越来越多企业的默认偏好。趋势五安全内生与“以技治技”。鲁棒性训练、隐私计算、可解释 AI 走向成熟信通院提到能源行业已探索“可解释 AI 专家规则”双校验机制。安全将从“外围拦截”走向“模型与流程内嵌”。四、专家建议给从业者与企业可落地的路径建议一建立数据分级与最小暴露原则。依敏感度把数据分为公开、内部、敏感、机密四级敏感字段须脱敏后才可接触模型机密明细完整流水、薪酬、合同仅限本地处理禁止进入任何外部接口。建议二把分析逻辑固化为可复用资产。数据面清洗、关联、异常排查的口径一旦确定就固化为脚本或角色配置反复使用。这既保证口径一致也把真实数据的触网频次降到最低——逻辑在本地跑模型只接收聚合结果。图为分析角色自定义将某一业务场景的核查标准沉淀为可复用的角色配置。建议三引入 AI TRiSM 四层能力。覆盖 AI 治理资产清单、审批流、审计、运行时检视与策略执行、传统安全控制、数据保护四层对所有模型、插件、数据集、检索库建立清单并钉版本运行时强制策略校验。建议四严控 Agent 权限。按 OWASP 优先级先修“过度代理”与“不当输出处理”每个 Agent 只给完成任务所需的最小工具与凭证不可逆动作发邮件、改库、开票据必须人工确认把模型输出当作不可信输入来校验与转义。建议五组织上升级为整合治理。Gartner 预测到 2028 年25% 的大型组织将设立融合数据、安全、合规与数字工作台的整合治理团队。企业宜尽早成立 AI 治理委员会把安全投资从“事后补救”前移到“事前内生”并与法务、采购协同明确责任边界。建议六中小团队低成本起步。先用一份“够真”的脱敏样本把 1–2 个高频场景如销售区域汇总、库存预警的逻辑跑通并固化之后每期只需导入新数据本地重跑增量成本极低。等场景跑顺再逐步扩展。结语AI 大模型安全不是要“不用 AI”而是要让 AI 在可控边界内释放价值。把握“数据最小化、逻辑可复用、模型只碰结论”三条主线企业方能把安全风险从“不可承受”变为“可管理”。参考资料IBM、Ponemon Institute《2025 年数据泄露成本报告》Gartner《2026 年网络安全趋势》《AI 治理平台市场预测》OWASP《大语言模型应用 Top 102025 版》中国信息通信研究院《人工智能安全治理研究报告2025 年》《数据治理研究报告2025 年》美国国家标准与技术研究院NIST《生成式 AI 风险管理办法AI 600-1》