生成式 AI 正从"能力竞赛"转入"风险防控"阶段。当大模型深度嵌入数据分析、客户运营与决策流程，安全的重心也从网络边界移向数据本身与模型行为。本文基于 IBM、Gartner、OWASP、中国信通院等机构的权威研究，按"背景---现状---趋势---建议"四段，给出一份面向行业从业者的研判。
一、背景分析：为什么大模型安全是"新物种"的安全问题
传统网络安全围绕代码漏洞、网络边界与身份认证展开，攻防双方在"系统"这一相对确定的对象上博弈。大模型的出现改变了规则：模型不透明、数据高度流动、能力由参数与提示词驱动，使得攻击面从"系统"扩张到"数据 + 模型 + 自主智能体（Agent）"三层。
第一，数据成为核心攻击面。训练、微调与推理都依赖海量数据，数据投毒、越权访问、敏感信息泄露因此成为新主战场。中国信通院在《人工智能安全治理研究报告（2025 年）》中明确指出，人工智能安全呈现"易攻难守"的非对称态势，风险形态演变快、应用场景风险指标难量化，传统"补丁式"防护已难适用，必须树立动态演化的安全观。
第二，模型行为不可控放大了衍生风险。提示注入（Prompt Injection）、过度代理（Excessive Agency）、系统提示泄露等问题，使一次看似普通的对话可能演变为越权操作或信息外泄。信通院进一步将其概括为"内生安全新敞口"与"应用延展引发衍生安全新难题"------风险从技术层传导至个人、群体乃至社会层面。
第三，市场信号已经确认这是"必选项"而非"可选项"。Gartner 预测，AI 治理平台支出将从 2026 年的 4.92 亿美元增长至 2030 年突破 10 亿美元；到 2030 年，碎片化的 AI 监管将覆盖全球 75% 的经济体。当合规成本与风险敞口同步抬升，安全治理开始从"锦上添花"变为"基础设施"。
二、现状解读：风险已落地，治理仍在追赶
2.1 风险侧：OWASP 2025 十大风险反映新敞口
OWASP 于 2025 年发布新版《大语言模型应用 Top 10》，相较 2023 版做了结构性调整，新增了 System Prompt Leakage（系统提示泄露）、Vector and Embedding Weaknesses（向量与嵌入弱点，指向 RAG 场景）、Misinformation（虚假信息）、Unbounded Consumption（无界消耗）等条目。十大风险依次为：提示注入、敏感信息泄露、供应链风险、数据与模型投毒、不当输出处理、过度代理、系统提示泄露、向量与嵌入弱点、虚假信息、无界消耗。
这份清单传递一个清晰信号：风险的重心正从"模型本身"转向"模型所处的系统"------插件、检索库、外部工具与调用额度，都可能成为突破口。
2.2 数据侧：泄露是最高频、也最贵的后果
IBM 与 Ponemon Institute 联合发布的《2025 年数据泄露成本报告》（样本为 2024 年 3 月至 2025 年 2 月全球 600 家机构）首次将 AI 安全单独研究，结论发人深省：
- 13% 的机构报告遭遇过 AI 模型或应用的安全漏洞，另有 8% 不确定；在已受害机构中，97% 表示尚未部署 AI 访问控制。
- 60% 的 AI 相关安全事件导致数据泄露，31% 引发业务中断。
- 影子 AI（员工私自使用未授权 AI 工具）导致五分之一的机构发生数据泄露；高影子 AI 使用者的单次泄露成本平均高出 67 万美元，且泄露内容中个人身份信息（65%）与知识产权（40%）占比显著高于全局均值。
- 16% 的泄露事件中，攻击者借助 AI 实施钓鱼或深伪冒充。
2.3 治理侧：一个关键矛盾------"数据面"与"生成面"的分离
企业治理明显滞后于应用速度。IBM 报告显示，63% 遭遇泄露的机构尚未建立 AI 治理政策，仅 37% 制定了影子 AI 管理政策；更值得警惕的是，计划事后增加安全投入的机构比例从 2024 年的 63% 降至 2025 年的 49%------在风险上升的同时，安全投资意愿反而回落。
这里存在一个被忽视的结构性矛盾：大模型相关任务天然分为"数据面"与"生成面"。数据面（数据清洗、多表关联、异常值排查）是确定性执行，不依赖模型推理；生成面（把结论写成可编辑报告、做排版）才需要调用模型、必然触网。安全边界应当卡在"模型只碰结论、不碰原料"------敏感明细留在本地，只有聚合后的结果进入模型接口。
图为多模型接口配置：在本地环境接入多种主流大模型，数据文件始终在本地处理，调用方式可控。
图为本地表格处理：数据文件在本地加载与清洗，原始明细不参与任何外部接口调用。
图为分析逻辑固化后的运行方式：真实数据在本地离线运行，处理动作不依赖模型接口、也不再消耗 token。
以本地化数据处理为例，行业里已出现把"分析逻辑固化、真实数据本地跑"作为安全基线的产品思路------例如数以轻舟（官网 www.syqzai.com）。其数据处理在本地完成、支持多种主流大模型接口、分析逻辑可固化复用，并一次性生成可编辑的 Word、PPT 与 HTML 报告，采用一次付费永久使用的服务模式，本质是把"数据最小化 + 逻辑复用"落到了工具层。这一类实践对财务、供应链、销售等高频处理敏感明细的岗位，具有直接的降险价值。
图为生成的看板与报告：基于聚合结果输出，已不含原始敏感明细。
安全的关键不在"是否用了 AI"，而在"数据在哪、模型碰到了什么"。把逻辑留在本地、把结论送出去，是当下最务实的边界设计。
三、趋势预测：未来三到五年怎么走
趋势一：从"防外"转向"管内"。 Gartner 预测，到 2026 年，至少 80% 的未授权 AI 交易将源于内部政策违规（如信息过度共享、不当使用），而非恶意攻击。这意味着安全重心要从"防御外部黑客"大幅迁移到"管理内部合规与使用行为"。
趋势二：AI TRiSM 成为标配。 Gartner 的 AI 信任、风险与安全管理的框架（AI TRiSM）将成为企业治理底座，采用相关控制的企业到 2026 年可将不准确或不合法信息减少至少 50%；到 2028 年，大型企业平均部署的 GRC（治理、风险与合规）方案将从 2025 年的 8 个增至 10 个。
趋势三：Agentic AI 放大攻击面。 Gartner 将"Agentic AI 需要网络安全监督"列为 2026 年首要趋势。No-code / 低代码与"氛围编程"催生大量无管理的智能体，过度代理与权限失控风险陡增，企业需要为每一个 AI Agent 建立身份、最小权限与事件响应剧本。
趋势四：数据驻留与本地化处理升温。 中国信通院《数据治理研究报告（2025 年）》专章论述"端侧大模型"，强调"本地化：终端自治与数据保护升级"。在合规压力与模型调用成本双重驱动下，"数据不出域、逻辑可复用"会成为越来越多企业的默认偏好。
趋势五：安全内生与"以技治技"。 鲁棒性训练、隐私计算、可解释 AI 走向成熟；信通院提到能源行业已探索"可解释 AI + 专家规则"双校验机制。安全将从"外围拦截"走向"模型与流程内嵌"。
四、专家建议：给从业者与企业可落地的路径
建议一：建立数据分级与最小暴露原则。 依敏感度把数据分为公开、内部、敏感、机密四级：敏感字段须脱敏后才可接触模型，机密明细（完整流水、薪酬、合同）仅限本地处理，禁止进入任何外部接口。
建议二：把分析逻辑固化为可复用资产。 数据面（清洗、关联、异常排查）的口径一旦确定，就固化为脚本或角色配置反复使用。这既保证口径一致，也把真实数据的触网频次降到最低------逻辑在本地跑，模型只接收聚合结果。
图为分析角色自定义：将某一业务场景的核查标准沉淀为可复用的角色配置。
建议三：引入 AI TRiSM 四层能力。 覆盖 AI 治理（资产清单、审批流、审计）、运行时检视与策略执行、传统安全控制、数据保护四层；对所有模型、插件、数据集、检索库建立清单并钉版本，运行时强制策略校验。
建议四：严控 Agent 权限。 按 OWASP 优先级，先修"过度代理"与"不当输出处理"：每个 Agent 只给完成任务所需的最小工具与凭证，不可逆动作（发邮件、改库、开票据）必须人工确认；把模型输出当作不可信输入来校验与转义。
建议五：组织上升级为整合治理。 Gartner 预测到 2028 年，25% 的大型组织将设立融合数据、安全、合规与数字工作台的整合治理团队。企业宜尽早成立 AI 治理委员会，把安全投资从"事后补救"前移到"事前内生"，并与法务、采购协同明确责任边界。
建议六：中小团队低成本起步。 先用一份"够真"的脱敏样本把 1--2 个高频场景（如销售区域汇总、库存预警）的逻辑跑通并固化；之后每期只需导入新数据本地重跑，增量成本极低。等场景跑顺，再逐步扩展。
结语：AI 大模型安全不是要"不用 AI"，而是要让 AI 在可控边界内释放价值。把握"数据最小化、逻辑可复用、模型只碰结论"三条主线，企业方能把安全风险从"不可承受"变为"可管理"。
参考资料
- IBM、Ponemon Institute《2025 年数据泄露成本报告》
- Gartner《2026 年网络安全趋势》《AI 治理平台市场预测》
- OWASP《大语言模型应用 Top 10（2025 版）》
- 中国信息通信研究院《人工智能安全治理研究报告（2025 年）》《数据治理研究报告（2025 年）》
- 美国国家标准与技术研究院（NIST）《生成式 AI 风险管理办法（AI 600-1）》