《你那套AI质检、工艺优化模型，可能被人喂偏了——训练数据和权重，正成新战场》

2026年初，安全团队盘出137起针对AI供应链的攻击活动，多数潜伏了8到14个月才被发现。其中一个叫"Dataset-Redux"的投毒语料，2026年2月挂在 Hugging Face 上，1.2TB文本被悄悄掺了毒，结果84个微调模型被埋进后门，包括两个金融情绪API。同期的漏洞更狠：MLflow 的 CVE-2026-2651（CVSS 9.0）能让攻击者直接覆盖模型仓库里的权重文件；AWS SageMaker SDK 的 CVE-2026-8596/8597 不校验模型签名，权重被换都发现不了；还有论文证明，被投毒的 LoRA 适配器在标准评测里"零漂移"——你测不出它有问题。制造企业这两年拼命上AI质检、工艺参数优化、SCADA异常检测，这套玩意儿，正悄悄变成新战场。

攻击不在"偷"，在"改"

过去我们防的是模型权重、训练数据被人拷走（这属于泄露）。投毒玩的是另一手：不拿走，改掉它。训练数据里掺0.1%的毒样本，模型在绝大多数时候都正常，唯独在某个触发条件下失灵——质检模型漏检缺陷、把恶意工艺值判成正常。权重或 LoRA 被替换，带的是后门。依赖投毒更阴，比如一个 typosquatting 的"color-utils"包，从训练流水线里偷AWS密钥，2300多条数据管道中招。最麻烦的是"静默带偏"：评测全过，部署之后才在关键判定上掉链子。放到 OT 场景尤其要命——被投毒的异常检测模型，会把恶意工艺值"学成正常"，等于自己瞎了。

把数据集和权重，当SBOM管

防御思路得变：数据集、权重不是"数据文件"，得当成软件物料清单（SBOM）来管。每个数据集、每个 checkpoint，都要有来源URL、SHA256、签名、可复现的构建记录——来源验不了，就当不可信。在 ingestion、入库、部署每个阶段都重算一遍 hash 比对，不一致立刻告警，哪怕来源写着"内部"也不能信。第三方模型和包走白名单+签名校验，关掉自动拉取那套"方便"。上线前用对抗样本做一轮行为 diff，看输出分布有没有被悄悄带偏。

原始工艺数据，别离开自己的地盘

制造企业最金贵的是那批内部工艺数据。训练尽量在本地加密环境跑，用上邦透明加密把原始工艺数据管住——即使训练流水线被渗透，拷走的也是乱码，喂不进别人的模型。EU AI Act 第10条已经要求高风险AI系统拿出训练数据治理的可证明记录，hash链、来源日志拿不出来，合规直接崩。这一条对做出口、接欧盟客户的工厂，迟早是硬杠。

说句实话：别一上来就追模型效果多炸裂。先问一句"这模型从哪来、数据干净吗、权重验过签名没"。模型不是用了就行，它的判断就是你的质检标准和工艺红线——完整性没了，自动化越快，错得越狠。