AI供应链安全五步法 —— 从“看不见”到“管得住”，一条能真正转起来的治理链

锦岳智慧

2026年10月20日 18:43
北京

去阅读

凌晨两点，某个主流 MCP 组件被通报存在严重漏洞。

安全负责人在工作群里被 @：「我们有多少智能体用了这个组件？什么时候能摘掉？」

然后是一片沉默。

IT 说低代码平台上登记了四十多个；业务部门自己搭的、跑在个人服务器上的，没人统计过。就算勉强列出来，也说不清谁用了这个组件、责任人是谁、摘掉会不会影响业务。

这不是能力问题，是可见性问题。这样的沉默，在 AI 加速落地的这一年里反复出现，背后其实只是三个问题：

有多少个智能体在跑？

每个智能体由什么组成？

某个组件出问题时，受影响的是哪几个、责任人是谁、能不能立刻摘除？

三个问题都答不上来，再多的安全投入都只能靠运气。

本篇把五篇串成一条链——一条从“看不见”到“管得住”的完整治理链。

1为什么传统手段在智能体面前失效

要理解这条链为什么是五个环节，先看传统资产管理失效在哪里。

失效点一：分散部署，入口不唯一。 传统应用部署入口相对集中——应用服务器、容器平台、云主机，盘点时总有“权威数据源”可依。智能体可能跑在公有云模型服务上、本地服务器里、某个 SaaS 的功能中，也可能只是业务人员在自己电脑上起的一个 Gradio 页面。没有一个系统天然知道它存在。

失效点二：动态创建，生命周期不受 IT 控制。 传统应用发布要经过需求、开发、测试、上线，IT 全程可见。智能体的创建常常跳过这条链路：业务人员在低代码平台上拖拽几下就发布，用完停掉，下周又新建一个。资产的诞生与消亡都不经过 IT，CMDB 无从登记。

失效点三：运行时挂载，构成在构建时不可知。 这一条最特殊，也最容易被忽略。传统软件的依赖在构建时就已确定，写在 package.json 或 requirements.txt 里，扫一遍就清楚。智能体不同：MCP Server、Skills、第三方插件可在运行时动态挂载——上线时只接三个工具，跑一周可能已挂七个。构建时的清单，无法代表运行时的真实构成。

三个失效点叠加的结果，不是“资产台账不准确”，而是根本没有台账。

2五步法：一条完整的链

图 1　AI供应链安全治理五步法

先看全貌（表 1），再展开每一步。

表 1　五步法速查表

第一步：求全地发现——把智能体“看见”

发现这一步的目标很朴素：把组织里所有正在跑的智能体找出来，一个不漏。单一路径不可能覆盖全部场景，实践中需要三路并行。

主动探测——基于资产网段与域名清单，对智能体与模型服务的默认端口、特征路径及协议响应进行探测识别。它不依赖既有台账、平台接口或主机 agent，可在治理初期快速圈定分布范围，是发现影子资产的主要手段。但边界必须清楚：它只能证明“该端点存在且具备智能体特征”，不能证明它正在实际运行——登录页、占位服务、废弃的测试实例，都可能被命中。

被动分析——识别 API 网关与出口流量中的模型调用特征：请求体的 model、messages、tools 字段，响应体的 choices、usage 字段，以及 MCP 协议 JSON-RPC 2.0 封装下的 tools/list 与 tools/call 调用。这是唯一能证明“正在运行”的路径，证据效力最高，代价是 HTTPS 需解密或旁路镜像。

平台侧对接——对接 Kubernetes、智能体开发平台、API 网关与工单系统，批量获取已纳管智能体的配置与运行状态。它只覆盖已纳管对象，却是补充业务属性与责任人最好的来源。

发现不是终点，把发现结果处理成可信台账才是。多路证据相互印证的判定为高置信并直接入库，仅单路命中的标记为待确认——既不因证据不足丢弃线索，也不因追求数量误判在线状态。

发现的价值不在于“找到多少”，而在于“找到的能不能信”。把测试实例算作在线资产的台账，比没有台账更危险。

资产进入台账后还要做三件事：标记来源与可信度、按“数据敏感度 × 动作权限”分级、定位责任人。分级不能照搬传统的“重要性”——智能体的风险不取决于它有多重要，而取决于它能碰到什么数据、能做什么动作。责任人这一步最容易被跳过：资产治理最常见的失败不是没找到，而是找到了没人认。无人负责的资产，等于无人整改的漏洞。

一句话：先求全，不求准。

第二步：求深地建档——用 AIBOM 说清构成

知道有多少个之后，紧接着是“每个由什么组成”。这个问题风平浪静时显得琐碎，在某个组件曝出漏洞的那一刻，立刻变成最紧急的问题。

AIBOM（AI 物料清单）面向数据、模型、软件、算力、平台、工具、服务七类资产，记录其构成、来源与关联关系。

这里有一个关键设计：发现与清单必须解耦。有输入材料的生成清单，暂不具备材料的登记为待补全、进入持续收敛队列——发现求“全”，清单求“深”，二者不互相阻塞。要求清单完整才允许入库，等于用清单的标准卡住发现，台账永远建不起来。

清单的价值不在“列出来”，而在“可信任”，这需要两类校验：来源核验校验发布者身份、来源仓库与发布渠道是否与声明一致，识别仿冒来源、抢注包与未授权镜像；完整性校验基于哈希与签名，验证制品自发布以来未被篡改。没有它们，清单只是一份“自述材料”——组件说自己来自哪里，清单就记哪里，攻击者改一处声明即可绕过。

七类资产中，“工具”这一类风险最集中。一个智能体接了哪些 MCP Server、声明了什么权限、是否被越权使用，直接决定它能造成多大影响。原因有三：一是运行时挂载，构建时的清单里可能根本没有；二是具有动作权限，风险直达业务，不止于输出层；三是来源分散、缺少统一审核，第三方市场与个人开发者均可发布，也都可能被仿冒。

还有一个容易被忽略的事实：清单记录的是权限声明，回答不了“它被实际用来做了什么”。声明的权限可能与实际调用的接口、实际读取的文件范围不一致，这个问题需要运行期的调用记录才能回答，清单本身给不出答案——主动承认能力边界，反而让清单更可信。

一句话：记录构成不难，难的是让构成可信。

第三步：求准地检测——从“疑似”到“定论”

台账再全、清单再细，都不能直接回答一个智能体是否安全、能否上线。而检测恰恰是最容易做偏的一环：

它看起来最“技术”、投入也最大，却最容易在缺少台账与清单支撑时变成盲测——跑了大量用例、产出大量结果，却既说不清覆盖了什么，也说不清问题该归给谁。要让检测有的放矢，先要解决两个问题。

分级决定测什么、测多深。 核心级纳入强制检测与变更审批，每次变更必测；重要级按周期常规检测；一般级按周期抽检；试验级仅做基础项。四档策略回答的是“资源有限时先测谁、测到什么程度可以支撑决策”。对核心级投入不足是失职，对试验级过度投入则是浪费。

变更决定何时重测。 基座模型、提示词、知识库、工具与插件、编排逻辑、权限边界——这六个可变要素同时也是重测触发器。有了这层映射，“每次变更都全量重测”就不再是必选项；更重要的是，那些不经过发布系统的变更（改提示词、传文档、运行时挂载新工具）也能触发对应检测，而不是等到下一次例行评估才被发现。

检测内容按攻击落地的位置分为三层：模型层（能不能被带偏）、执行层（会不会真的做错事）、输出层（说出来的话有没有问题）。这三层不是三个并列的检查清单，而是同一条攻击链上的不同落点。一次提示词注入可能止步于模型层，只让模型“说错话”；也可能向下传导到执行层，驱动工具调用，造成实际的读文件、改数据、发消息。前者是输出风险，后者是行动风险，处置优先级完全不同。

结论也必须分档：模式命中（特征匹配成功，未验证实际效果）→ 可复现（同条件下稳定重复）→ 可利用（沙箱实证完成，影响明确可度量）。只有第三档能支撑“必须阻断上线”这类决策，前两档更适合作为风险线索进入复核队列。

检测报告里最危险的两个字，是把“疑似”写成“存在”。前者需要复核，后者需要处置，混用会让整个检测体系失去可信度。

一句话：差的从来不是更多用例，而是靶心、分档与回流。

第四步：求实地留证——把要求落到证据

合规问询、监管检查、事故复盘时，对方要的不是“我们做了多少工作”，而是“这件事能不能拿出证据”。而证据类工作有一个共同特点：事后补不回来——事发后再补一份哈希，只能说明“现在这份没被改”，说明不了“当时那份是不是原版”。

所以落地顺序应该反过来：先形成证据链，再追求标准版本完整。判断依据可以收敛成一条——凡是事后补不回来的，先做。哈希、签名、来源、带时间戳的核验记录都属此类；标准版本的完整度、字段的丰富度则可以逐步补齐，晚一步不影响其有效性。

七个最小控制构成这条证据链：按供应链环节建立统一台账（同一资产必须统一建账，环节只是索引维度，不是分割依据）；把“合法来源”拆成可核验的准入流程；用签名验证与可信发布替代单纯保存哈希；把训练与构建记为可验证 provenance；对插件、MCP 与 Agent 建立运行时控制；建立变更管理与可替换性；把清单接入漏洞、许可证与事件响应。

有几条判断值得记住：

签名失效最常见的情形不是算法被破解，而是密钥管理没跟上。一旦签名可被绕过，“验证通过”就退化成另一种形式的自述材料。

模型看到的是描述，不是代码。攻击者不必替换工具的实现，只要让恶意工具的“名字和描述”像某个知名工具，就可能被模型选中。所以工具描述本身也应哈希和签名。

没有替代方案，“发现问题”就等于“业务中断”。可替换性与变更管理是一体两面，风险处置需要执行空间。

清单必须与 CMDB、模型注册中心、漏洞库、工单和应急通信连接，否则只是一份静态文档。清单建了、漏洞库也接了，但工单仍靠人工派发、通知仍靠群里喊，那么“小时级定位”就只是口号。

一句话：标准会变，扫描能力会补上，但“出事时能不能拿出证据”这个要求不会变。

第五步：求效地度量——看出有没有真的好转

做到第四步，能力就建成了。但能力建成，不等于能力生效。三种幻觉最能说明问题：

台账幻觉（台账建了，但维护责任没落到人，三个月后一半资产状态失真）、检测幻觉（报告出了，但结论停在报告里，没人跟进整改）、证据幻觉（哈希存了、签名验了，事件发生时却找不到对应记录）。三者共同点是：能力建成了，但没有进入运转。

所以判断一套体系是否生效，不看“建了几项”，而看“能不能在规定时间内给出答案”。

成熟度按能力的可依赖程度分为五级：L1 初始（资产靠人工清点）、L2 可重复（有台账与清单）、L3 已定义（流程固化、事件自动触发）、L4 量化管理（指标可量化）、L5 持续优化（指标驱动改进）。多数组织当前处在 L1 到 L2 之间。

L3 是一道真正的分水岭：到了这一级，体系才具备实际的事件响应能力，能在小时级给出受影响名单，而不是靠人工翻清单。L5 的价值在于体系能自我修正，但对多数组织来说，稳在 L3、逐步补上 L4 的度量能力，已经是很好的状态。

指标按三类设置：覆盖类（看全了没）、闭环类（改掉了没）、时效类（快不快）。有三个坑值得单独强调。

只统计“发现了多少问题”，会激励刷用例数、大量报低危——数量指标必须与三档分档绑定，只统计“可利用”与“可复现”的闭环情况。

只统计覆盖率、不统计准确率，比不做度量更危险。100% 覆盖但一半是误判，比 80% 覆盖更糟，因为它让决策建立在一半错误的数据上。

把“未评估”计入“通过”，会虚增合规率——这与“保留未知而非默认为安全”直接冲突。

能被度量的能力才能被改进；但被错误度量的能力，会被改进到错误的方向上去。

一句话：不看建了几项，看能不能在规定时间内给出答案。

3五步不是并列，是一条链

把五步串起来看，AI 供应链治理很像一次完整的健康管理。

先普查——把人全部找出来，不设门槛，宁可多登记也不能漏。没有这份名册，后面全是盲测。

再建病历——记录既往史、接触史和过敏源。对应智能体，就是它由什么构成、组件从哪来、有没有被篡改。没有病历，出事只能凭症状猜病因。

再做专项检查——影像、化验、病理，把“看着像”推进到“确诊”。对应检测从模式命中走到可复现、可利用。

再把报告归档——片子、化验单、诊断意见都要留存。不是为了好看，而是会诊时、被问询时、有人说“你当初不是这么说的”时，能拿出来。

最后复查对比——拿今年的指标比去年，看干预有没有效果，再决定明年把钱和人力投在哪。

前三步解决“知道”，第四步解决“拿得出”，第五步解决“有没有真的好转”。缺了任何一步，健康管理就退化成“体检完把报告往抽屉里一塞”——看起来都做了，实际什么都没变。

这条链还有一个关键特征：它是闭环，不是流水线。检测会发现台账里没有的资产——未登记的模型调用地址、未纳管的 MCP Server、清单外的外部服务调用；处置的结果也会回写台账与清单。每跑一轮，下一轮的靶心就更准一些。

4从哪里开始：三个阶段与自检三问

如果资源有限，不必按 L1 到 L5 逐级推进，可以按“能不能回答、能不能验证、能不能响应”三阶段走，每一步都能独立产生价值。

阶段一 能回答——建台账与清单，做来源核验。完成标志：能给出任一资产的构成与责任人，未登记资产无法进入部署。

阶段二 能验证——做签名验证与 provenance。完成标志：生产环境制品均可通过签名验证，任一权重可追溯到数据批次与代码提交。

阶段三 能响应——做运行时控制、变更管理与事件响应接入。完成标志：新漏洞可在小时级给出受影响名单与责任人，高风险动作均有审批，实质变更自动触发评估与复测。

顺序不能颠倒：没有台账，签名不知道该签谁；没有签名与事件响应，小时级定位无从谈起。每阶段的完成标志必须是可验收的动作，而不是“完成了建设”这类描述——“能否在规定时间内给出一份名单”“能否追溯到某一批次”，有明确的是或否，才不会陷入“建了但不知道建没建好”的状态。

最后，可以用三个问题做一次自检：

1. 组织里有多少个智能体在跑，每一个的责任人是谁？

2. 某个组件曝出漏洞时，能不能在小时级给出受影响的名单？

3. 三个月前的某个智能体，当时用的是什么构成、能不能拿出证据？

三个问题现在答不上来哪一个，就知道该从哪一步开始了。

结语

五步法不能保证不出事——没有哪种治理能保证不出事。它能保证的是：出事时，你不再是一片沉默。

从“看不见”到“管得住”，差的不是某一项技术，而是把五个环节接成一条能真正转起来的链。这条链上最反直觉的一点是：投入最大的那一步（检测），价值完全取决于前两步做得怎么样。很多团队把预算全压在检测上，结果是用最贵的能力做最盲的事。

标准会变，扫描能力会补上，但“出事时能不能拿出证据”这个要求不会变。先把这条链接起来，之后每补齐一块标准、每接入一类能力，都能直接落在已有的结构上——这是五步法真正的意义。