MCP 安全详解 #
AI-SPM（人工智能安全态势管理）是指持续发现、评估和加强组织内所有运行的人工智能资产（模型、代理、MCP 服务器、数据集、人工智能编码工具和人工智能框架）及其关联关系、风险和监管义务的安全措施。如果您想知道什么是 AI-SPM 以及它为何如此重要，简而言之：您无法保护您看不到的东西，而大多数组织都无法看到其内部运行的人工智能。 pipelines.
As 人工智能已融入软件开发的每个阶段。传统的应用安全态势管理并非旨在理解模型是什么、代理可以做什么或 MCP 服务器可以访问哪些内容。AI-SPM 弥补了这一缺陷。本指南解释了什么是 AI 安全态势管理，以及它与传统安全态势管理的区别。 ASPM以及它为何会成为一项合规要求，还有，到 2026 年，成熟的 AI-SPM 实践会是什么样子？.
什么是AI-SPM？深入定义 #
人工智能安全态势管理（AI-SPM）是一种安全方法，它在整个软件开发生命周期中，对人工智能特定资产应用持续发现、风险评分和策略执行。传统方法 Application Security Posture Management (ASPM汇总并优先考虑来自以下方面的发现 SAST, SCA, 达斯特AI-SPM 不仅涵盖了这些工具原本不具备的理解能力，还扩展了其范围，使其能够理解这些工具原本不具备的理解能力：大型语言模型、自主代理、模型上下文协议服务器、提示配置、数据集和 AI 编码助手。
AI-SPM 的核心功能与任何态势管理实践相同：了解自身拥有的资源，理解其带来的风险，并在风险演变为事件之前执行策略。区别在于资产类别。配置错误的 MCP 服务器、权限过大的代理或从被污染的数据集中提取数据的模型，并非 AI-SPM 的核心功能。 传统意义上的 CVE 漏洞; 它们是姿态故障，需要人工智能特定的检测逻辑、人工智能特定的风险评分，以及 人工智能特定补救指南.
AI-SPM有时被描述为位于其顶部的AI层 ASPM有时，人工智能资产管理可以作为一种独立实践。无论采用哪种方式，其根本需求都是相同的：组织需要一种系统化的方法来发现每一项人工智能资产，评估其风险，并根据评估结果采取行动。
AI-SPM 与 ASPM有什么区别？ #
ASPM (Application Security Posture Management）旨在关联传统应用安全工具的发现（SAST, SCA，DAST， 秘密扫描仪, IaC 分析仪）形成一个涵盖整个应用程序组合的统一风险视图。它回答了以下问题：我们的代码和依赖项中存在哪些漏洞，以及哪些漏洞最为重要？
AI-SPM 提出了一个不同的问题：我们的环境中正在运行什么 AI，它能做什么，以及它的配置是否安全？
这两种做法是互补的，而不是相互竞争的：
ASPM 涵盖代码、依赖项、 pipelineAI-SPM涵盖模型、代理、MCP服务器、提示配置和数据集等基础设施。 ASPM AI-SPM 根据 CVE 严重性和可达性对风险进行评分，AI-SPM 根据 AI 特定攻击向量、快速注入暴露、过度代理、不安全的 MCP 配置、影子 AI 以及通过 RAG 系统的数据泄露对风险进行评分。
在成熟的安全程序中，AI-SPM 为以下方面提供支持： ASPMAI资产风险是统一态势视图中的另一个信号，与代码级风险相关，并且 pipeline security 全面展现组织的攻击面。
HTML为什么AI-SPM现在如此重要 #
有三方面因素促使 AI-SPM 从未来的考虑变为迫在眉睫的作战需求。
- 人工智能资产的扩散速度超过了治理能力的跟进速度。 开发人员正在本地配置 MCP 服务器，从公共中心拉取模型，为每个 IDE 启用 AI 编码助手，并将自主代理部署到系统中。 CI/CD pipeline许多企业未经正式批准就擅自使用人工智能。在2026年的一项针对安全领导者的调查中，仅有19%的受访者表示能够全面了解人工智能在其组织中的使用地点和方式。其余受访者则对此一无所知。
- 攻击者直接针对人工智能层。 PromptMink 攻击活动精心设计了恶意 npm 包，专门用于欺骗 AI 编码代理。ollama-helpers 和 openai-agents-helpers 集群的目标是代理工作流程中使用的软件包。 技能泄露 该模式将凭证解密器隐藏在 MCP 技能中，而不是安装钩子中，预先cis仅仅因为安装 hooks 这些是扫描器会检查的地方。传统的应用安全工具无法识别这些攻击面。而 AI-SPM 可以。
- 监管即将到来。 欧盟人工智能法案、美国国家标准与技术研究院人工智能风险管理框架（NIST AI RMF）以及 ISO/IEC 42001 标准均要求组织对其运行的人工智能系统进行记录、分类和管理。若不首先了解自身运行的人工智能系统，则无法履行上述任何义务。人工智能系统绩效管理（AI-SPM）是合规的前提条件，而非附加条件。
AI-SPM涵盖哪些内容？ #
一套完整的AI-SPM实践涵盖以下四个方面：
- 执法。 根据态势调查结果采取行动，在开发者终端阻止未经批准的 MCP 服务器，在恶意依赖项安装之前拦截它们，标记超出最小权限边界的提示配置，并在事件扩散之前隔离受感染的终端。
- 发现。 持续查找组织内所有人工智能资产（模型、代理、MCP 服务器、人工智能编码工具、数据集和人工智能框架），包括那些未经 IT 部门批准的资产。影子人工智能最难查找，因为它存在于开发人员的笔记本电脑、本地 IDE 配置以及内部环境中。 CI/CD pipeline而不是在云控制台中。
- 风险评分。 针对人工智能特有的攻击向量评估每项资产：快速注入漏洞、工具中毒风险、过度代理、不安全的 MCP 配置、通过 RAG 系统的数据泄露以及缺乏监管的影子人工智能。仅凭 CVE 严重性不足以涵盖这些风险；AI-SPM 需要针对人工智能攻击路径构建风险模型。
- 调控图谱绘制。 将每项人工智能资产与其在欧盟人工智能法案、NIST人工智能风险管理框架、ISO/IEC 42001以及OWASP十大LLM应用和代理应用风险指南下所承担的合规义务关联起来。人工智能资产清单（AI-BOM）是此映射的审计就绪输出：一份机器可读的清单，列出了每项人工智能资产及其风险等级和监管分类。
AI-SPM 和 AI-BOM #
AI-BOM（AI物料清单）是AI-SPM生成的可导出、可用于审计的文档。 SBOM 对开源软件和第三方软件依赖项进行编目， AI-BOM 对 AI 专用资产进行分类：模型、数据集、代理、MCP 服务器和 AI 编码工具，以及它们的来源、风险级别和监管映射。
安全负责人越来越多地收到来自审计人员的请求， enterprise 采购团队正是为此而生。能够按需生成 AI-BOM（作为其 AI-SPM 实践的持续输出，而非单次手动操作）的组织，将在欧盟 AI 法案审计义务日益完善的过程中，获得显著的合规性和信任优势。
AI-SPM 和 OWASP 框架 #
AI-SPM 检测和风险评分应与定义 AI 特定风险的社区框架保持一致：
- 此 OWASP 十大法学硕士申请问题 涵盖了基于大型语言模型构建的应用程序面临的十大最关键风险，包括即时注入、不安全的输出处理、敏感信息泄露、过度代理等。AI-SPM 将每个 AI 资产的风险敞口与这些类别进行比对。
- 此 OWASP Top 10 针对代理应用程序 将该框架扩展到自主代理工作流程，涵盖了代理架构特有的风险，例如代理劫持、不受控制的工具调用和内存中毒。
- 此 OWASP MCP Top 10 解决了模型上下文协议集成、工具投毒、通过 MCP 注入提示符、未经授权的工具执行以及影子 MCP 服务器带来的安全风险。
与这些框架保持一致，可以将人工智能安全绩效管理（AI SPM）的发现转化为可操作的、经过外部验证的风险分类，供审计人员和 enterprise 买家可以进行评估。
AI-SPM 工具选购指南 #
如果您正在评估 AI-SPM 功能，以下几点要求可以将真正的 AI 姿态管理与静态资产清单区分开来：
伸入 SDLC：在代码中发现人工智能，构建 pipeline不仅在云控制台中（大多数影子 AI 根本不会出现在云控制台中），而且在开发者端点上也是如此。
理解 AI 特有的资产类型、模型、代理、MCP 服务器、数据集、提示配置，而不仅仅是软件包和库。
对 AI 特定攻击向量（快速注入、不安全的 MCP、过度代理、影子 AI）的风险进行评分，而不仅仅是 CVE 严重性。
生成符合审核要求的 AI-BOM，并与欧盟 AI 法案、NIST AI RMF 和 ISO/IEC 42001 进行监管映射。
将态势感知与执行力度联系起来：因此，调查结果会转化为被阻止的依赖项、被拒绝的 MCP 服务器和被限制的端点，而不仅仅是…… dashboard 未决问题。
持续运行：在新 AI 资产出现时立即捕捉它们，而不是像某些审计那样，几天后就过时了。
使用 Xygeni 保障 AI 姿态 #
AI-SPM需要的不仅仅是 dashboard它需要持续发现问题，深入到开发者终端，构建针对 AI 攻击路径的风险评分，以及在配置错误的 MCP 服务器或恶意依赖项导致事件发生之前强制执行策略的能力。
Xygeni的AI安全平台 将 AI-SPM 作为一项持续实践来交付：发现您系统中的每个模型、代理、MCP 服务器和 AI 编码工具。 SDLC 通过 AI-SPM，根据 OWASP Top 10 对 LLM 应用、代理应用和 MCP 进行风险评分，生成可导出的 AI-BOM 供审计人员使用； enterprise 买家，并通过 Shield 在开发者终端强制执行策略，在未经批准的 MCP 服务器和恶意依赖项到达之前将其阻止。 pipeline.
如果您的团队正在运行 AI 编码助手，那么 AI 姿态问题已经存在。问题在于您是否具备管理该问题的可见性。
常见问题解答 #
MCAI-SPM 用于发现组织中运行的每个 AI 资产，评估每个资产针对 AI 特定攻击向量的风险，生成用于合规性和审计目的的 AI-BOM，并在开发人员端点强制执行策略，在未经批准的 MCP 服务器和恶意依赖项导致事件发生之前阻止它们。
欧盟人工智能法案并未明确提及人工智能安全绩效管理（AI-SPM），但若不了解自身运行的人工智能系统，就无法履行其对高风险人工智能系统的文档记录、分类和注册义务。AI-SPM 正是确保这些义务得以履行的实践。美国国家标准与技术研究院（NIST）人工智能风险管理框架（AI RMF）和 ISO/IEC 42001 也是如此。
可以将人工智能资产清单视为基础，而将人工智能安全绩效管理 (AI-SPM) 视为完整的架构。资产清单负责发现并记录每一项人工智能资产，包括其类型、运行位置和可访问范围。AI-SPM 在此基础上构建：针对人工智能特有的攻击向量进行风险评分，将每项资产与相应的监管义务进行映射，并根据评估结果执行相应的策略。AI-SPM 的实施离不开资产清单。但如果没有评分和执行机制，仅仅依靠资产清单是远远不够的。
影子AI是指你的安全团队未经批准且无法看到的AI，例如开发人员从公共中心提取的模型、运行在笔记本电脑上的MCP服务器，以及悄悄打开的代理程序。 pull requests 育明在 pipeline 没人审计过。它很少出现在云控制台中，这就是为什么仅限云端的发现机制会遗漏大部分内容。AI-SPM 对影子 AI 至关重要，因为它能深入影子 AI 实际存在的地方：代码库、构建环境和开发者终端，在资产变成未管理的风险之前就将其发现。
