AI 能力地图 · ③
AI 员工的安全：老板必须看懂的一张图
你不需要懂技术，但需要会数三样东西。给 AI 助手接上邮箱和文件库之前，先读完这一篇——它可能是本系列里避免损失最直接的一篇。
先讲清一个词：提示注入
AI 时代的头号安全问题，不是"AI 说错话"，是提示注入：攻击者把指令藏进 AI 会读到的内容里——一封邮件、一个网页、一份客户发来的文档——AI 读到后照着执行，比如把你的数据发出去。
关键认知：能读你邮箱的 AI，意味着任何人都可以给你的 AI 写信下命令。已有实际验证的攻击：一封"毒邮件"躺在收件箱里，用户只是正常地让 AI"总结一下邮件"，AI 就在无人察觉的情况下把服务器密钥发给了攻击者，成功率八成。这不是科幻，是已发表的安全研究。
它和"越狱"是两回事：越狱是骗模型说脏话，丢人的是模型厂商；注入丢的是你的数据。很多技术团队把两者混为一谈，以为"这不关我们的事"——这正是最常见的认知漏洞。
一张图：致命三角
判断你用的（或供应商推销的）任何 AI 助手危不危险，数三样东西：
| 它有没有… | 例子 |
|---|---|
| ① 访问你的私有数据 | 能读 CRM、文件库、财务数据 |
| ② 读到外部内容 | 能收邮件、看网页、读客户上传的文档 |
| ③ 对外发送信息的能力 | 能发邮件、调接口、生成可点击的链接 |
三样齐了 = 现实风险。国际大厂的多款 AI 产品都在这个三角上出过事，事后修补的手段几乎都一样：锁出口。你在采购评审会上只要问一句"这三样它占几样、断了哪一角"，就问到了点子上——这一问比十页安全承诺书都管用。
诚实的坏消息，和实用的好消息
坏消息：没有 100% 可靠的防御。市面上声称"拦截 95% 攻击"的护栏产品，在安全领域里是不及格分——攻击者只需要成功一次。检测型产品可以买，但不能当主防线。
好消息：性价比最高的防御是管理动作，不是技术采购。三条底线：
- 锁出口：限制 AI 能往外发什么（白名单制）——这是全球厂商修漏洞时的通用手法，也是单条投入产出比最高的措施；
- 高危动作人工确认：付款、发对外邮件、改权限这类动作，AI 可以准备，由人按下最后一步；
- 最小权限：AI 助手只给干活必需的数据范围——"先全接上再说"是最危险的部署方式。
现在该做什么
给管理者的一页纸动作：把公司里已经在用的 AI 工具列个清单（包括员工私下用的），逐个过一遍致命三角。三角齐备的，先断出口（限制外发）；给全公司立一条规矩：敏感数据（客户名单、财务、薪酬、合同）进哪些 AI、不进哪些 AI，写成一页纸制度。这件事不需要预算，需要的是有人牵头——这也正是 FDE 职责清单里"质检"那一栏的安全部分。
一个容易忽略的角落：知识库投毒。如果你的 AI 客服/助手连着一个"谁都能往里加文档"的知识库，攻击者把恶意内容混进去的成本已被证明低到几毛钱一次。知识库的写入权限要和财务系统一个待遇。
最后更新 2026-09-05 · 基于公开安全研究与厂商事故披露整理