AI安全不能止于模型：CertiK发现Google EdgeTPU漏洞，揭示AI基础设施新风险

这是一项关于EdgeTPU的漏洞研究，却折射出AI产业正在发生的一项更深层变化：随着AI逐渐从生成内容走向执行任务，企业需要保护的对象，已经不再只是模型本身，而是整个AI系统。

此次披露的两项漏洞虽然技术成因不同，却揭示了同一个值得关注的问题：攻击者有机会利用Android与EdgeTPU之间的交互接口，突破原有的安全隔离机制，在负责AI推理的高权限芯片中执行任意代码，或访问其中的敏感数据。

更重要的是，这项研究揭示了一种容易被忽视的风险：许多企业仍然按照应用、API、基础设施和设备组件分别开展安全评估，但攻击者并不会按照这样的边界发起攻击。相反，他们更可能利用不同组件之间的接口和信任关系，将多个看似独立的环节串联成一条完整的攻击路径。真正的风险，往往就隐藏在这些跨越系统边界的交互之中。

 从“生成内容”到“执行任务”：AI Agent放大的攻击暴露面

EdgeTPU漏洞之所以受到关注，并不仅仅因为它发生在AI基础设施，更因为它反映出AI产业的发展方向正在发生变化。

这一趋势正在快速发生。根据McKinsey发布的《The state of AI in 2025》^[1]报告，88%的企业已经在至少一个业务场景中部署AI，超过六成企业开始探索AI Agent。另一项Google Cloud针对全球企业的调查^[2]则显示，83%的受访企业认为，为支持AI Agent的大规模落地，现有基础设施需要进行重大升级。

 企业AI安全边界正在从模型扩展到完整技术栈

一些AI Agent平台已经开始在Skill部署前引入自动化安全评估。以Pieverse和FinChip.ai为例，两家平台均已部署CertiK Skill Scanner，对AI Skill进行安全扫描，帮助识别潜在恶意行为和安全漏洞，在Agent执行任务之前降低潜在风险。

 AI时代需要的是覆盖全生命周期的风险管理

越来越多企业开始将安全能力前移至软件开发生命周期，希望在开发、测试和部署阶段完成风险识别，而不是等漏洞进入生产环境后再进行修补。与此同时，AI也开始被用于辅助漏洞发现、代码分析和形式化验证等研发流程，帮助开发团队提升安全验证效率。

EdgeTPU漏洞只是一个案例，却反映出一个越来越明确的行业趋势：未来企业真正需要验证的，或许已经不只是某一个模型是否安全，而是整个AI系统从开发、部署到运行全过程是否值得信任。当AI逐渐成为数字基础设施的一部分，AI安全也正在从保护模型，走向保护整个AI系统。