文章总结： 文档核心要点是在企业竞相采用人工智能（AI）的浪潮中，忽视基础网络安全已带来新的风险。根据IBM最新报告，高达97%遭遇AI相关安全事件的组织承认缺乏适当的AI访问控制，63%的机构尚未制定AI治理政策来管理AI系统或阻止员工使用影子AI。这种监管缺位导致了严重的财务与运营代价，例如高水平使用影子AI使全球平均泄露成本额外增加67万美元。同时，16%的数据泄露事件涉及使用AI工具进行网络钓鱼或深度伪造攻击。为应对这些风险，企业需要重新评估网络安全框架，加强AI治理和安全投入，并促进安全、治理等团队的协同合作。 综合评分： 85 文章分类： AI安全,数据安全,网络安全,应用安全,安全建设

在追逐 AI 浪潮时勿忽视安全根基

数据安全矩阵 数据安全矩阵

数据安全矩阵

2026年3月19日 14:12 上海

随着AI的快速采用，网络环境发生了巨大的变化。在竞相挖掘AI潜力的狂热浪潮中，企业常迫于时间压力，尚未评估基础网络安全措施便急于部署AI系统。这形成了危险的并行态势：当企业为获取竞争优势仓促应用AI时，网络犯罪分子正以同等速度将AI技术纳入其攻击武器库。

AI与自动化的快速部署在提升防御效率的同时，也在催生新的风险。AI应用速度超越监管能力的现象，可能积累严重的安全债务，给执着于保持竞争优势的企业带来风险。这种债务–即延迟或不足的网络安全实践产生的累积后果–随时间推移可能引发严重漏洞。在AI应用领域，企业已开始显现预警信号。

根据IBM 最新发布的《2025年数据泄露成本报告》显示：遭遇AI相关安全事件的受害组织中，高达97%承认其缺乏适当的AI访问控制。此外，受独立波耐蒙研究所调研的600 家机构中，63%坦言尚未制定AI治理政策来管理AI系统或阻止员工使用影子AI。

这种AI监管缺位正造成沉重的财务与运营代价。该报告显示，高水平的影子AI（即员工下载或使用未经批准的基于互联网的 AI工具）使全球平均泄露成本额外增加 67万美元。与人工智能相关的泄露事件也产生了连锁反应：它们导致了广泛的数据泄露和运营中断。这种中断可能会阻止组织处理销售订单、提供客户服务和保持供应链运行。

由于在采用AI时忽视了基本的网络安全实践，公司容易遭受基于AI的工作负载的运营中断、跨越多云和本地部署环境的大规模数据泄露，以及用于训练或优化AI系统的知识产权的潜在暴露威胁。

随着业务领导者持续深入探索并推动AI热潮，他们必须正视整个基础设施中持续存在的庞大风险。这一点在云安全领域尤为突出，AI工作负载与数据的大部分生命周期都在云端度过。为确保这些资产的风险始终处于组织可接受范围内，安全负责人需要通过重新评估网络安全框架，助力企业在AI领域抢占先机。同时，这些领导者必须确保公司能够适应AI技术带来的不断演变的风险。

这包括定期审计安全与数据保护政策、调整控制措施、优化响应计划以及投入员工培训。随着新任人工智能负责人 (CAIO) 逐步跻身高管团队，安全负责人需与他们紧密协作。安全领导者应加强与治理、风险及合规 (GRC) 团队的联动，助力打破当前或潜在的部门壁垒（尤其是与监管合规部门之间的隔阂）。这将在确保战略协同一致、构建强有力的危机响应机制方面发挥关键作用，为应对涉及 AI 资产的数据泄露事件筑牢基础。

IBM 调研报告：13% 的企业曾遭遇 AI 模型或 AI 应用的安全漏洞，绝大多数缺乏完善的访问控制管理。

AI 时代的安全漏洞

• AI 治理政策：在遭遇数据泄露的机构中，63% 尚未建立 AI 治理政策或仍在制定中。在已制定 AI 治理政策的机构中，仅有 34% 会对非授权 AI 工具进行定期审计。
• 影子 AI 的代价：五分之一的企业报告称曾因影子 AI（非监管状态下的 AI 工具使用）导致数据泄露，仅 37% 的企业制定了管理或检测影子 AI 的政策。与较少使用影子 AI 的企业相比，使用率高的企业平均数据泄露成本多出 67 万美元。涉及影子 AI 的安全事件导致个人身份信息 (65%) 和知识产权 (40%) 泄露比例远超全球均值（分别为 53% 和 33%）。
• AI 驱动的智能攻击：研究显示，16% 的数据泄露事件都涉及AI 工具的使用，主要用于网络钓鱼或借助深度伪造的网络攻击。

数据泄露的经济损失

• 数据泄露的成本：全球数据泄露平均成本降至  444万美元，为五年来首次下降，而美国企业的平均泄露成本却创下 1022万美元的新高。
• 全球泄露处理周期创新低：随着更多企业实现内部漏洞自检，全球平均泄露处理周期（含服务恢复的漏洞识别与控制时间）缩短至 241天，较上年减少 17天。相比被外部攻击揭露的漏洞，通过内部检测发现漏洞的机构平均减少 90万美元损失。
• 医疗行业泄露成本仍居首位。尽管医疗行业的数据泄露成本较 2024年下降 235万美元，其 742万美元的平均损失仍在调研的所有行业中居首。该行业的漏洞识别与控制周期长达 279天，比全球均值（241天）多出 5周以上。
• 勒索支付被更多企业抵制。去年企业拒绝支付赎金的比例上升，63% 的机构选择拒付（2024年为 59%）。尽管更多企业抵制勒索，敲诈及勒索软件事件的平均成本仍居高不下——尤其当漏洞由攻击者披露时，损失高达 508万美元。
• AI 风险攀升下的安全投入增长乏力。2025年计划在数据泄露后增加安全投入的企业比例显著下降，从 2024年的 63% 降至 49%。而在计划追加投入的企业中，关注 AI 驱动的安全方案或服务的机构不足半数。

来源：IBM，了解更多信息，请访问：https://www.ibm.com/cn-zh

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：数据安全矩阵 数据安全矩阵 数据安全矩阵《在追逐 AI 浪潮时勿忽视安全根基》