整体安全态势

• 火山引擎 AI 产品攻防动态

  • 8 月 AI 产品拦截爆破攻击次数 4578 万次，Web 攻击 23032 次，相比 7 月波动不大，攻击类型集中在路径遍历/未授权访问（9428）、SQL 注入（5295）、反序列化（3870）、远程代码执行（3541）

  • 8 月火山安全团队持续开展 Skills 安全扫描，发现恶意 Skill 400+，其中越权资源访问占 26%、文件与数据外泄占 25%、凭证与密钥窃取占 21%

• 行业动态

  • 8 月 AI 安全态势的核心特征是“实战化”——攻击者不再停留在概念验证阶段，而是已将 AI 作为武器全面投入实际攻击行动。CrowdStrike《2026 威胁狩猎报告》指出 AI 驱动的恶意活动同比激增 89%、智能体触发的告警增速是人工触发的 2.5 倍，详情

  • 当前 AI 安全治理的短板不在威胁检测，而在访问控制与治理框架的系统性滞后，Shadow AI（员工运行未经组织批准的人工智能工具）事件占比从去年的 20% 跃升至 43%，49% 的 Shadow AI 事件导致数据丢失或泄露，详情

安全事件趋势

（一）提示注入仍居 OWASP LLM Top 10 首位

相关事件

• 针对 Grok 的加密上下文注入攻击， Grok 4.5 Fast 在自身代码执行环境中解密后执行隐藏指令，将用户姓名、位置、订阅级别和完整对话内容通过 URL 参数发送到攻击者服务器，详情

• Claude Code 存在 Memory Heist 风险，恶意提示词诱导智能体将 Memory 中保存的数据逐字符编码到 URL 路径，通过连续 HTTP 请求发送到攻击者服务器，传统安全工具（WAF/DLP/API 网关）无法检测，详情

相关启示
提示注入（Prompt Injection）根因是 LLM 把系统指令、用户输入、外部资料全部转成 token，拼成同一段自然语言上下文。
鉴于提示注入难以彻底消除，防护目标不应仅限于阻止注入，而是“即使注入成功，也无法造成实质危害”，需要纵深防御机制。

（二）AI 武器化全面升级，攻防不对等加剧

相关事件

• 六款主流 AI 编程工具被系统性攻破，ISSTA 2026 论文披露，对Cursor、Claude Code、Copilot、Windsurf、Cline、Trae 的首次系统性红队测试暴露完整攻击链，详情

• AI 蠕虫形成自我强化的攻击闭环，攻击者利用 AI 基础设施漏洞收割模型 API 密钥，再用这些密钥驱动大模型规划、组织、执行下一波攻击，影响范围从 AI 开发者扩散到下游服务和整个 AI 生态，详情

相关启示
AI 不再只是被攻击的对象，AI 已从“辅助攻击工具”升级为全流程攻击引擎。人类攻击者利用 AI 在成本、时间、技能、规模四个维度同时降低攻击门槛，过去需要国家级团队或资深黑客数周才能完成的攻击链，现在单人借助 AI 可在数小时内自动化执行。

重要安全漏洞

优先级	漏洞编号	影响范围	修复方案	出处
P0	CVE-2026-9198	IBM Langflow 1.0.0—1.10.0	升级至 1.10.1；无法立即升级时下线公网入口，仅允许可信网段访问，并排查异常认证与代码执行行为	IBM 安全公告
P0	CVE-2026-64849	MLflow 3.15.0 之前	升级至 3.15.0；临时禁用或限制 Webhook，并在网络侧阻断实例元数据与内网敏感地址出站	GitHub 安全公告库

安全能力建设

（一）火山引擎行业首发｜智能体安全能力图谱：企业可落地的建设路径

基于字节内部 AI 安全治理最佳实践，火山引擎发布《智能体安全能力图谱》，系统性梳理了智能体安全建设的 10 大能力维度、60 项核心技术要素。管理范围包括：Workflow 类智能体、办公类智能体、AI Coding 类智能体。
基于企业智能体建设所处阶段，以及安全需求程度，大致分成 3 个阶段：

• L1-智能体基础安全防护：先解决“能否安全上线”，L1 的目标是为每一个进入企业环境的智能体建立统一、可执行的安全基线

• L2-智能体精细化管控：再解决“运行过程是否可控”，L2 的目标是围绕统一入口、可信身份、细粒度授权与运行时拦截，建立覆盖每一次调用和执行的控制体系，确保智能体走向“体系化治理”

• L3-智能体安全持续运营：最终解决“规模化后能否持续安全运营、模型推理过程能否保持机密可信”，L3 的目标是让企业不仅能够全面发现和处置风险，还能基于全链路数据持续验证安全状态、优化策略实现可持续运营，并做到模型推理过程的机密可信

完整报告

火山引擎 AI 安全态势报告-2026年8月