大模型供应链安全：当 AI 遇见开源组件风险
摘要：大模型的训练与推理链路高度依赖开源框架、预训练权重与第三方数据集。本文从 OWASP 视角剖析大模型供应链的关键风险点，并提出可落地的防护框架。
当我们讨论大模型安全时，注意力往往集中在提示注入、越权调用等“使用层”风险，却忽略了更底层的“AI 供应链”。一个大模型的诞生，依赖开源训练框架（如 PyTorch、TensorFlow）、海量第三方数据集、预训练权重，以及推理阶段的模型服务与插件生态。任何一个环节被污染，都会沿链路放大为系统性风险。
与传统软件供应链不同，AI 供应链引入了“数据”与“权重”两类新型资产。它们难以像代码那样被人工逐行审计，也容易在训练、微调、蒸馏、量化等过程中被悄然篡改。这正是当前安全治理的盲区。
其一是开源框架与依赖投毒。攻击者可在热门 Python 包中植入恶意代码，当开发者用其搭建训练流水线时即被触发。其二是预训练权重篡改。公开模型权重在分发、托管环节可能被替换，导致下游应用继承后门。其三是数据集污染。通过往训练数据中注入带偏见的或含触发模式的样本，可让模型在特定条件下表现出预期之外的危险行为。
这三类风险叠加，使“模型即产品”的假设不再安全——你拿到的权重，可能早已不是发布者声称的那一份。
OWASP 在《Top 10 for Large Language Model Applications》中，已将“供应链漏洞（LLM05）”列为十大风险之一，强调应对第三方模型、插件与数据源进行安全评估。实践中可建立三层防护：来源可信（校验权重哈希、使用官方或签名发布渠道）、构建可信（在隔离环境中完成训练与构建、禁止未审计依赖入网）、运行可信（对模型输入输出与工具调用做持续监测）。
将 AI 供应链纳入已有的软件供应链治理体系（如 SBOM、依赖扫描），而非另起炉灶，是性价比最高的路径。
建议团队从三件小事起步：一是为所有引入的模型权重与数据集建立哈希清单与来源台账；二是在 CI 中增加依赖与模型组件的漏洞扫描门禁；三是对外部插件与工具实施最小权限与沙箱隔离。安全不是模型上线后的补丁，而应写进 AI 工程的第一行配置。
— OWASP 中国（开放 Web 应用安全项目） —