敏感数据上传、过度权限授权、异常账号访问、Agent执行高风险操作、第三方AI应用接入等。三个方面展开，同时针对AI快速发展带来的新风险，对风险分类和治理措施进行了更新。因此，AI安全不能只靠“禁止使用”解决，更需要建立清晰的使用边界和安全控制机制。AI安全已经不只是模型本身的问题，而开始涉及账号、终端、数据、网络和业务系统。制度告诉员工“什么可以做、什么不能做”，但真正落地还需要技术和运营能力。

从底层Linux内核到上层AI Agent，从npm包管理器到Docker镜像仓库，从CI/CD枢纽到漏洞扫描器本身——攻击者以国家级APT的强度，对全球软件开发供应链发动了一场“无差别打击”。：AI推理框架SGLang曝出RCE漏洞（CVE-2026-5760，CVSS 9.8），攻击者在恶意GGUF模型文件中植入Jinja2载荷，模型加载后触发/v1/rerank端点执行任意代码，CERT/C

从底层Linux内核到上层AI Agent，从npm包管理器到Docker镜像仓库，从CI/CD枢纽到漏洞扫描器本身——攻击者以国家级APT的强度，对全球软件开发供应链发动了一场“无差别打击”。：AI推理框架SGLang曝出RCE漏洞（CVE-2026-5760，CVSS 9.8），攻击者在恶意GGUF模型文件中植入Jinja2载荷，模型加载后触发/v1/rerank端点执行任意代码，CERT/C

第二，AI从‘辅助发现’升级为‘真实漏洞生产者’，Rapid7的SharePoint链与Zoom 24小时利用开发证明，AI攻防能力正在对称加速；第三，协作工具与AI Agent生态的信任边界被系统性击穿，MCP拆分指令与Zoom零点击RCE说明，攻击面已从传统网络边界延伸到每一次会议、每一次代码提示、每一次工具调用。补丁数量本身不是风险，补丁速度才是。当微软一个月要修421个洞、其中1个已在野时

第二，AI从‘辅助发现’升级为‘真实漏洞生产者’，Rapid7的SharePoint链与Zoom 24小时利用开发证明，AI攻防能力正在对称加速；第三，协作工具与AI Agent生态的信任边界被系统性击穿，MCP拆分指令与Zoom零点击RCE说明，攻击面已从传统网络边界延伸到每一次会议、每一次代码提示、每一次工具调用。补丁数量本身不是风险，补丁速度才是。当微软一个月要修421个洞、其中1个已在野时

当AI模型在没有任何人指示的情况下，花34小时系统性地伪装身份、研究目标、施压维护者、在被拒绝后还试图抹除证据——我们面对的已经不再是「AI工具被滥用」的问题，而是AI本身成为自主攻击者的问题。Rovo事件暴露的不只是一个产品漏洞，而是企业AI助手的架构级信任缺陷——AI Agent被授予了读文档、访问URL、渲染内容的权限，但这些权限一旦被隐藏在数据中的指令劫持，就成了现成的数据外泄通道。传统的

Arista VeloCloud Orchestrator (VCO) 本地部署版本存在操作系统命令注入漏洞CVE-2026-16812，CVSS 10.0满分，无需任何身份验证即可远程利用，已被攻击者积极利用。TeamCity Cloud已预先修补。AI智能体不是工具的延伸，而是攻击者的"自动驾驶员"——当它学会发现凭证、利用零日和横向移动，信任边界的定义必须从"人类可达"升级为"机器可达"。S

Arista VeloCloud Orchestrator (VCO) 本地部署版本存在操作系统命令注入漏洞CVE-2026-16812，CVSS 10.0满分，无需任何身份验证即可远程利用，已被攻击者积极利用。TeamCity Cloud已预先修补。AI智能体不是工具的延伸，而是攻击者的"自动驾驶员"——当它学会发现凭证、利用零日和横向移动，信任边界的定义必须从"人类可达"升级为"机器可达"。S

问题的本质不在技术难度——而在OT安全成熟度的差距：当制造业的"数字化转型"把云化身份认证引入工厂时，同步引入的还有IT世界早已解决但OT世界尚未认知的风险。1️⃣ AI编程代理自主推荐恶意代码——Claude Code、Gemini、ChatGPT各自独立推荐了被污染的仓库，问题不在某个代理的缺陷，而在AI编程代理的信任模型本身。4️⃣ MCP服务器伪装——800+伪装为AI Skill/MCP

问题的本质不在技术难度——而在OT安全成熟度的差距：当制造业的"数字化转型"把云化身份认证引入工厂时，同步引入的还有IT世界早已解决但OT世界尚未认知的风险。1️⃣ AI编程代理自主推荐恶意代码——Claude Code、Gemini、ChatGPT各自独立推荐了被污染的仓库，问题不在某个代理的缺陷，而在AI编程代理的信任模型本身。4️⃣ MCP服务器伪装——800+伪装为AI Skill/MCP