AI供应链暗流涌动：攻击不再窃取，而是篡改，制造OT场景已成攻防新战场

2026年初，安全团队梳理发现，全年累计监测到137起针对AI供应链的攻击活动，绝大多数攻击潜伏周期长达8至14个月才被捕获。其中名为Dataset-Redux的语料投毒事件尤为典型：2026年2月，一份1.2TB的文本数据集上传至Hugging Face平台，数据集内被悄悄植入恶意样本，最终导致84个微调模型被预埋后门，其中包含两款金融情绪分析API。

同期曝光的高危漏洞进一步放大风险：MLflow CVE-2026-2651（CVSS评分9.0），攻击者可直接覆盖模型仓库内的权重文件；AWS SageMaker SDK CVE-2026-8596、CVE-2026-8597，缺失模型签名校验机制，权重文件被替换后系统毫无感知。更棘手的是相关学术验证：遭投毒的LoRA适配器，在标准评测体系下性能零漂移，常规测试完全无法识别隐藏的恶意逻辑。

当下大量制造企业加速落地AI质检、工艺参数优化、SCADA异常检测等智能化系统，工业OT场景，已然成为AI供应链攻击的全新主战场。

攻击逻辑转变：不再窃取，而是篡改

传统AI安全防护重心，集中在防止训练数据、模型权重被窃取外泄。而供应链投毒是完全不同的攻击思路：不拿走数据，悄悄改写逻辑。

仅需在训练数据中掺入0.1%的恶意样本，模型在绝大多数场景表现正常，仅在特定触发条件下失效：质检模型漏掉产品缺陷、将异常工艺参数判定为合格。权重文件或LoRA适配器被替换，则会植入永久后门。 还有依赖链投毒手段，例如名为color-utils的拼写混淆恶意软件包，从训练流水线窃取AWS密钥，累计造成2300余条数据管道受影响。

这类威胁最隐蔽的形态是静默带偏：模型顺利通过全部上线评测，部署运行后，才会在关键业务判定环节出现错误。放到工业OT环境后果尤为严重：被投毒的异常检测模型，会把恶意工艺数值学习为正常阈值，相当于工业监控系统主动“失明”。

防护新思路：将数据集、模型权重纳入SBOM管理

安全防护思路必须同步迭代：数据集、模型权重不能简单视作普通数据文件，需要像软件物料清单（SBOM）一样规范化管控。

每一份数据集、每一个模型检查点（checkpoint），都留存来源地址、SHA256哈希值、数字签名以及可追溯复现的构建日志；无法核验来源的物料，一律判定为不可信。 在数据接入、仓库存储、模型部署全链路反复校验哈希值，一旦比对不一致，立即触发告警，即便是标注为内部产出的物料也不能豁免。第三方模型与依赖包启用白名单+签名校验机制，关闭自动拉取组件的便捷功能。模型上线前，使用对抗样本开展行为差异比对，排查输出分布是否被暗中篡改。

工业核心底线：原始工艺数据不外流

对于制造企业而言，内部工艺数据是核心资产。模型训练尽量部署在本地加密隔离环境，借助上邦透明加密技术保护原始工艺数据。即便训练流水线遭到入侵，攻击者获取到的也只是加密乱码，无法用于外部建模。

欧盟AI法案第10条已明确要求：高风险AI系统必须提供可核验的训练数据治理记录。如果缺少哈希链路、来源审计日志，将直接无法满足合规要求。对于产品出口、对接欧盟客户的工厂，这项要求很快会成为硬性门槛。

说到底，选型AI系统不能只追逐模型效果。优先确认三件事：模型来源是否可信、训练数据是否干净、模型权重是否完成签名校验。模型输出结果，直接决定质检标准与工艺安全红线。一旦数据与模型完整性失守，自动化跑得越快，业务出错的代价就越沉重。