AI 供应链的风险不只在模型权重从插件到构建环境逐层排查作者元宝一个安全研发的 AI 安全观察与实践笔记团队接入一个开源模型或第三方 AI SDK 时安全评审经常只盯着模型权重来源是否可信、有没有公开漏洞、许可证能否使用。这些问题重要但远远不够。一次 AI 应用上线往往同时引入模型权重、Tokenizer、Embedding 模型、向量库客户端、插件、容器镜像、数据集和构建脚本。任何一个环节都可能改变最终系统的行为或权限。假设团队下载了一个“客服分类模型”配套 README 建议执行安装脚本并开启一个外部插件。模型推理本身没有恶意输出但安装脚本修改了依赖插件又拥有读取工单和发送通知的权限。风险已经从“模型是否安全”扩展成了供应链和运行时权限问题。供应链威胁地图校验来源限制依赖限制运行时发现影响模型与数据集来源下载与校验构建环境与依赖模型服务与插件企业数据与工具篡改权重、恶意依赖、污染脚本签名与哈希锁文件与镜像白名单沙箱与最小权限审计与回滚供应链风险的共同特点是问题可能在上线前就被引入但直到某个特定输入、插件调用或模型更新才显现。只做一次人工下载检查很难覆盖整个生命周期。先区分三个“可信”对象需要证明什么常见误区来源可信包、权重或镜像来自批准渠道看到热门仓库就默认可信内容完整下载后没有被替换只校验压缩包不校验解压文件行为可控运行时不会越过数据和工具边界把签名当成权限授权签名和哈希只能说明内容来自某个来源、没有被修改不能说明这个来源永远不会犯错也不能说明组件拥有访问企业数据的资格。完整性验证和运行时隔离是两条不同的防线。模型文件并不等于纯数据不同框架对模型文件、配置和自定义代码的加载方式不同。有的格式主要保存张量有的加载过程允许执行自定义类或脚本。评审时不要只问“模型精度怎么样”还要问加载模型是否允许远程代码或自定义算子推理服务是否在无外网、无生产凭据的环境运行Tokenizer、配置和权重是否来自同一版本量化、转换和编译步骤是否可复现在不确定格式行为时优先选择纯数据加载模式并在独立沙箱内转换和验证。不要在开发者笔记本上直接加载来源不明的文件。用哈希和批准清单固定输入供应链门禁不需要先理解模型每一层参数先把构建输入固定下来就能降低很多不确定性defverify_artifact(artifact,policy):rulepolicy.get(artifact.name)ifruleisNone:raiseRuntimeError(组件不在批准清单中)ifartifact.versionnotinrule.allowed_versions:raiseRuntimeError(组件版本未经批准)ifartifact.sha256notinrule.allowed_hashes:raiseRuntimeError(组件内容哈希不匹配)ifartifact.sourcenotinrule.allowed_sources:raiseRuntimeError(组件来源不符合策略)批准清单需要版本化并且和部署记录关联。临时下载一个新模型绕过清单短期看似提高效率长期会让事故无法还原“当时到底运行了哪个组件”。插件是最容易被忽略的权限放大器一个插件的风险不取决于它名字里有没有“AI”。只要它能读取 CRM、发送邮件、写入工单或访问云 API就应该按普通业务服务评估它代表哪个用户执行能访问哪些租户和资源读写权限是否分开参数由谁校验是否支持幂等和回滚日志中是否记录输入来源和授权依据插件描述文件或 README 里的“建议权限”不能自动变成生产权限。授权应由策略服务和部署配置决定且默认关闭不需要的能力。构建环境也要当作资产保护模型转换、Embedding 生成和评测脚本通常会处理企业数据。如果构建环境可以访问生产对象存储、内部 Git 和云凭据依赖或脚本一旦被替换影响就不仅是模型质量。我会把构建任务放进临时环境并限制网络只允许访问批准的镜像和制品仓库凭据使用短时、只读、范围受限的身份生成的模型和索引进入隔离制品库发布前再审批构建日志脱敏禁止回显 Token、连接串和原始业务数据失败时能够销毁临时环境并撤销临时凭据。这类控制的价值在于即使某个脚本有问题它能触达的资产也是有限的。运行时监控不能只看接口错误供应链组件可能一直返回 200但出现行为漂移模型突然大量拒绝正常问题、Embedding 分布变化、插件访问范围扩大、外发请求增加。监控应覆盖版本、哈希、调用来源、数据量和工具行为。发生异常时团队应该能快速完成四件事冻结新版本、切回上一份已验证制品、撤销组件凭据、定位受影响的输入和业务动作。没有回滚路径的供应链治理遇到问题只能临时停机。供应链评审清单模型、Tokenizer、Embedding 和插件是否都有来源、版本和哈希记录是否禁止未知来源的远程代码、自定义加载器和未锁定依赖构建与转换环境是否隔离生产网络和长期凭据插件权限是否按用户、租户、资源和动作拆分制品是否经过独立验证、审批和可回滚发布运行时是否记录组件版本、调用来源和异常行为发生供应链事件时是否能知道哪些数据和动作受影响供应链治理的落点是可验证和可回滚AI 供应链安全不是给模型贴一张“可信”标签而是把来源、完整性、权限和行为控制分开处理。签名证明组件没有被悄悄替换权限系统才决定它能碰什么。