2026年6月，OWASP正式发布了人工智能安全验证标准（AISVS）1.0版本。这是全球首个为AI系统量身定制的、可测试的安全需求目录。它的出现，填补了传统应用安全标准在AI领域留下的空白。

一、为什么需要AISVS？

AI系统带来的安全风险，是传统安全标准未曾设计的：

• 提示注入（Prompt Injection）：攻击者通过精心构造的输入覆盖模型指令，将语言模型变成数据外泄、执行未授权操作的“帮凶”；

• 数据投毒（Data Poisoning）：训练数据被污染，模型被植入后门或行为退化；

• 模型窃取与逆向：通过API调用克隆模型，或从模型输出中反推训练数据；

• 自主代理失控：AI代理将攻击者注入的指令与合法指令等同对待，采取具有现实后果的行动；

• 供应链威胁：模型、数据集、框架的完整性面临传统SCA工具无法应对的新挑战。

AISVS正是为应对这些风险而生。它并非要取代ASVS、NIST AI RMF或ISO/IEC 42001等现有标准，而是在它们未覆盖的AI安全技术层面“填补空白”。

二、核心理念：可验证、可测试、可实现

AISVS遵循OWASP ASVS的设计哲学——每一条要求都必须是可验证、可测试、可实现的。它不涉及治理、风险管理或组织流程（这些由NIST AI RMF和ISO/IEC 42001覆盖），也不推荐具体产品或工具，而是专注于AI应用开发者能够控制的技术安全层面。

三、三大验证等级

AISVS定义了三个递进的验证等级，与ASVS等级对齐，组织可根据自身风险状况选择：

等级	说明	适用场景
Level 1（基础）	最关键的基础安全要求	任何处理不可信输入或敏感数据的AI应用
Level 2（标准）	针对高级攻击和多层防御	处理敏感业务数据、受监管数据的生产系统
Level 3（高级）	防御高复杂度针对性攻击	涉及生命安全、关键基础设施的应用

采用AISVS Level N进行验证，默认应用也需通过ASVS Level N的验证。两者搭配使用，不可相互替代。

四、12大控制域总览

AISVS的核心内容分为12个控制域（C1-C12），覆盖AI全生命周期：

控制域	核心关注点
C1 训练数据完整性	数据来源追踪、防投毒、标注安全
C2 输入验证	提示注入防御、内容策略筛查
C3 模型生命周期管理	模型签名、部署验证、回滚能力
C4 基础设施与部署	AI负载隔离、GPU安全、边缘AI安全
C5 访问控制与身份	AI资源授权、多租户隔离、零常驻权限
C6 供应链安全	AI BOM、三方模型完整性验证
C7 输出控制与安全	输出格式校验、幻觉检测、溯源归属
C8 记忆与向量库安全	RAG访问控制、嵌入清洗、记忆过期
C9 代理与编排安全	执行预算、人工审批、组件隔离
C10 MCP协议安全	MCP组件完整性、鉴权、传输安全
C11 对抗鲁棒性	对抗训练、成员推断防御、模型窃取防护
C12 监控与异常检测	日志记录、漂移检测、主动行为监控

五、几个关键亮点

1. 提示注入的纵深防御

AISVS将提示注入视为“最具破坏性的攻击之一”，防御策略贯穿多个控制域：C2要求输入归一化、检测编码走私、指令层级强制执行；C7要求输出格式校验、防止泄露系统提示词；C9和C10要求代理和MCP工具的输出在进入模型上下文前必须经过验证和筛查。

2. 代理（Agentic）安全的系统化

针对日益普及的自主AI代理，AISVS设定了独立的C9控制域，要求：执行预算（防止无限循环、成本失控）、高影响操作必须人工审批、每个代理实例拥有唯一密码身份、授权决策由策略引擎而非模型本身做出、具备可独立于代理运行环境的“终止开关”。

3. 供应链透明化：AI BOM

C6要求每个模型构件发布版本化、机器可读的AI BOM，列出数据集、权重、许可证和数据来源声明，且AI BOM需在部署前进行密码签名，BOM完整性检查不通过则构建失败。

4. 实操导向的附录

除核心要求外，AISVS还包含两个极具实操价值的附录：

• 附录B：AI安全控制清单——按控制技术维度（身份验证、授权、加密等）重组所有要求，便于开发者快速定位实现方案；

• 附录C：AI辅助安全编码——针对使用AI编程工具的安全实践，覆盖工具准入、提示上下文管理、AI生成代码验证、CI/CD管道加固等14个控制项。

六、如何开始使用？

AISVS建议组织通过以下四种方式使用该标准：

1. 设计阶段——作为AI系统架构的安全检查清单；

2. 开发阶段——融入CI/CD流水线、代码审查和测试；

3. 安全评估——作为渗透测试和审计的验证框架；

4. 采购环节——评估AI供应商和第三方模型时引用具体要求。

AISVS本身不能替代ASVS、ISO/IEC 27001等基础安全标准。实施AISVS的前提是：底层应用、基础设施和组织实践已通过通用安全标准的验证，AISVS在其之上叠加AI专属的安全层。

总结

AISVS 1.0的发布，标志着AI安全从“临时应急”走向“系统化工程”。它为企业提供了评估和强化AI系统安全态势的结构化框架，也为开发者、架构师和安全从业者提供了共同语言。随着AI技术快速迭代，OWASP计划将持续更新AISVS以应对新兴威胁。对于任何正在构建或运营AI应用的组织而言，将AISVS纳入安全实践，是迈向安全、可信AI的关键一步。