首页 ›
行业文章 ›
2026年人工智能大模型安全众测典型漏洞风险通报（整理自CNCERT）
2026年人工智能大模型安全众测典型漏洞风险通报（整理自CNCERT）
云豆信息科技2026-09-23阅读约 4 分钟
2026年9月15日，2026年人工智能大模型安全众测结果在国家网络安全宣传周发布：活动动员 2467 名白帽子，对国内 25 家 AI 厂商的 54 款大模型及智能体应用产品进行漏洞测试，累计发现各类安全漏洞 873 个（其中大模型及智能体特有漏洞 608 个、传统漏洞 265 个）。现将典型漏洞风险与处置建议整理如下。
一、通报背景
2026年9月15日，2026年人工智能大模型安全众测结果在国家网络安全宣传周发布。活动共动员 2467 名白帽子，对国内 25 家 AI 厂商的 54 款大模型及智能体应用产品进行了漏洞测试。累计发现各类安全漏洞 873 个，其中大模型及智能体应用特有漏洞 608 个、传统漏洞 265 个。现将典型漏洞风险及应对处置建议通报如下。
二、典型漏洞风险问题
（一）提示注入类漏洞普遍，仍是大模型最常见漏洞风险
主要通过构造特定输入内容，直接或间接操纵模型行为，诱导其绕过安全限制执行恶意操作。例如，某大模型可通过在模型读取的网页、文档等内容中预埋恶意指令，并诱导模型检索将其作为可信指令自动执行。
（二）信息泄露类漏洞多发，存在较大安全风险
主要通过输入特定内容诱导模型输出个人身份信息（PII）、凭证等敏感数据，以及模型内部参数、安全规则等内部信息。例如，某大模型存在 API 密钥硬编码与泄露漏洞，暴露所有用户共享使用的云平台 239 个模型的 API 密钥。
（三）部分产品存在不当输出处理类漏洞且危害严重
主要是模型生成内容未经验证、过滤即被用于下游系统，导致恶意内容被直接执行或传递。例如，某大模型助理模式可以通过构造特定恶意指令绕过模型安全限制，实现远程命令执行并提权。
说明：以上（一）至（三）为开源大模型和大模型应用的典型漏洞风险；以下（四）至（六）为 Claw 类智能体应用的典型漏洞风险。
（四）代理身份与权限滥用类漏洞频发，存在较大安全隐患
攻击者利用多智能体委托链路、上下文记忆缺陷诱导智能体冒用或过度继承身份凭证，突破预设访问边界实现越权操作。例如，某智能体任务接管机制可被恶意网页跨域注入伪造指令，操控 Agent 的执行流程和决策行为，造成业务中断、敏感信息泄露等危害。
（五）代理目标劫持类漏洞隐蔽，可导致非预期高危操作
攻击者通过提示注入、上下文投毒、伪造工具返回等方式篡改智能体原始任务目标，诱导其执行恶意动作。例如，某智能体未对输入指令意图进行有效安全校验，泄露可免费调用官方平台的 API Key、Token 等核心配置信息。
（六）部分产品存在非预期代码执行类漏洞且危害严重
攻击者通过提示操纵、上下文投毒等方式，诱导智能体生成未经核验的脚本、系统指令并直接运行。例如，某智能体沙箱进程管理服务 API 接口暴露，允许攻击者以管理员权限执行任意系统命令。
（七）传统安全漏洞在 AI 系统中依然存在
本次测试共发现传统安全漏洞 265 个，占比 30.4%。这表明尽管 AI 系统架构具有高度的技术复杂性，但因其对外暴露的接口和服务在本质上仍遵循传统应用软件的逻辑架构，导致传统安全漏洞在 AI 系统中依然存在。例如，某大模型存在垂直越权漏洞，可获取站点完整管理权限。
三、应对处置建议
（一）针对大模型面临的各类漏洞风险，持续加强安全防护措施
- 采取零信任原则，将大模型输出视为不可信输入，强制验证与编码，重点对外链、代码执行等下游操作指令进行安全验证，并在沙箱等隔离环境执行模型生成的代码及工具调用操作；
- 实施严格的输入输出验证和过滤，遵循最小权限原则，避免过度授权；
- 将敏感指令移至安全配置库，并拦截包含“system prompt”等关键词的查询；
- 落实智能体最小权限原则，增设意图与参数校验，强化调用审计及熔断管控，阻断链式风险；
- 落实数据最小供给、敏感数据脱敏过滤，强化上下文边界管控与输出校验，对会话日志做脱敏留存，阻断 AI 产品转述外泄风险；
- 加强供应商审计，强制验证第三方模型签名及数据来源，定期对第三方 AI 组件、框架、预训练模型、数据集进行安全评估；
- 加强对传统漏洞的安全防护措施。
（二）创新智测融合监测预警，打造 AI 漏洞闭环处置体系
立足汇聚社会白帽力量的传统众测模式，积极引入大模型、智能体等技术开展智能化漏洞挖掘，探索构建 AI 驱动的新型智测模式，充分发挥人机协同优势，提升漏洞风险挖掘的深度与发现质效。同步强化人工智能安全风险监测预警体系建设，依托漏洞共享机制，打通漏洞上报、研判、处置全流程，形成 AI 漏洞风险主动发现、快速处置、修复验证的完整闭环。以“众测赋能 + 智能监测”双轮驱动，兼顾外部实战挖掘与常态化风险感知，持续提升 AI 安全风险管控能力。
来源说明：本文内容整理自国家互联网应急中心（CNCERT）于 2026-09-23 发布的《关于2026年人工智能大模型安全众测活动典型漏洞风险的通报》，原文见
cert.org.cn。转载整理仅供安全学习，版权归原作者所有。
常见问题
这次众测发现了哪些主要风险？
活动动员 2467 名白帽子，对国内 25 家厂商的 54 款大模型及智能体产品测试，累计发现 873 个漏洞（大模型/智能体特有 608 个、传统漏洞 265 个）。典型风险集中在提示注入、信息泄露、不当输出处理、智能体身份与权限滥用、目标劫持、非预期代码执行六类，且传统 Web 漏洞仍占 30.4%。
什么是“提示注入类漏洞”？
攻击者通过构造特定输入（如在网页、文档中预埋恶意指令，诱导模型检索后将其当作可信指令自动执行），直接或间接操纵模型行为，使其绕过安全限制执行恶意操作。它仍是大模型最常见的漏洞风险。
大模型“信息泄露类漏洞”有哪些表现？
主要通过诱导模型输出个人身份信息（PII）、凭证等敏感数据，以及模型内部参数、安全规则等内部信息。通报举例：某大模型存在 API 密钥硬编码与泄露漏洞，一次性暴露了云平台 239 个模型的 API 密钥。
Claw 类智能体应用面临哪些特有风险？
通报单列了三类：①代理身份与权限滥用（利用委托链路/上下文记忆缺陷冒用或过度继承凭证，越权操作）；②代理目标劫持（篡改原始任务目标，诱导执行恶意动作）；③非预期代码执行（诱导生成未经核验的脚本或系统指令并直接运行）。例如某智能体沙箱 API 暴露，可被以管理员权限执行任意命令。
普通企业或开发者应该怎么防护？
核心动作：把大模型输出视为不可信输入并强制验证/编码；在沙箱等隔离环境执行生成代码与工具调用；遵循最小权限、强化输入输出过滤；将敏感指令移入安全配置库并拦截 system prompt 类查询；为智能体增设意图与参数校验、调用审计及熔断；落实数据最小供给与脱敏；定期评估第三方 AI 组件安全。
这篇文章的出处和版权？
内容整理自国家互联网应急中心（CNCERT）2026-09-23 发布的《关于2026年人工智能大模型安全众测活动典型漏洞风险的通报》，原文见 cert.org.cn。本文为转载整理，版权归原作者所有，仅供安全学习使用。
下一步
这份通报给所有正在把大模型、智能体接入业务系统的团队提了个醒：AI 应用的攻击面并不只是“模型本身”，还包括它读得进来的网页/文档（提示注入）、它管得住的密钥与权限（信息泄露、身份滥用）、以及它跑得起来的代码（非预期执行）。对企业和开发者而言，核心动作是：把模型输出当不可信输入、在隔离沙箱里执行生成代码、按最小权限收窄智能体能力、并对第三方 AI 组件做常态化安全评估。我们（云豆信息科技）在为客户交付官网、小程序与业务系统时，也始终把“后台权限归客户、数据可备份、HTTPS、代码审计、依赖与运行时常态化升级”等安全基线纳入交付标准。如果你正在评估把 AI 能力接入官网或业务系统，欢迎把安全与合规要求一并告诉我们。
相关阅读
需求聊一聊
把大致方向告诉我们，免费给出功能拆解与工期建议。工作日 09:00 - 17:00 在线。
微信咨询
服务号
