Tenable 新报告：复杂性与薄弱的 AI 安全如何使云环境面临风险

先来说说坏消息： 许多企业在急切拥抱云技术和 AI 技术的同时，却缺乏适当的网络安全防护措施，这就产生了危险的缺口。 

好消息是什么？这些企业可以通过转向预防性安全模式，并对其整个环境获得清晰、综合的可见性，来应对 AI 和云带来的威胁。

这是由 Tenable 委托并与云安全联盟合作编写的新研究报告《2025 年云安全和 AI 安全现状》的主要结论。

让我们来详细分析一下该报告的主要发现结果，以及针对这些发现结果可以采取哪些措施。

现代攻击面广泛且分散

安全团队面临的新现实是：他们必须保护一个庞大而复杂的环境，部分在本地，部分跨多个云服务提供商分布，同时到处都是层出不穷的 AI 工具。

该报告基于对全球 1025 名 IT 和安全专业人员的调查，发现：

• 82% 的受访者在混合环境中工作
• 63% 的受访者需要应对两家或更多家云服务提供商
• 55% 的受访者已经在使用 AI，另有 34% 的受访者正在测试 AI

简而言之，企业对所有云技术和 AI 技术相关事物趋之若鹜，但在许多情况下，他们的云安全计划不足以保护这个不断扩展且碎片化的攻击面。 

让我们来看看一些关键障碍。

薄弱的身份和访问管理

许多企业使用基本的身份和访问管理 (IAM) 保护方法。这是个问题，因为在这些无边界、异构的环境中，身份构成了安全边界。 

高达 59% 的受访者表示，不安全的身份和高风险权限是他们最大的安全风险。 他们将与身份相关的三个问题列为云外泄事件的前四大原因：

• 过度权限，如特权过高的帐户或角色 (31%)
• 跨云环境的访问控制不一致 (27%)
• 身份安全管理不善，如缺乏多重身份验证 (27%)

此外，当被问及他们面临的主要云安全挑战时，他们表示云团队和 IAM 团队意见不一致 (28%)；并且他们在实施最小特权访问方面困难重重 (21%)。 

另一个问题是： 企业监测身份风险的方法较为基础，对于特权滥用和访问异常等问题，很少有跟踪指标。

报告中写道：“数据表明，身份既是公认的威胁，也是仍在逐步成熟的安全管理领域”。 

为加强 IAM 安全，报告的建议包括：

• 重构 IAM 计划和系统
• 改善云团队和 IAM 团队之间的协调
• 转向更动态的身份风险与抗风险能力指标

瞧，没准备好！在缺乏足够安全控制的情况下仓促推进 AI

89% 的企业要么正在使用 AI (55%)，要么正在进行试点 (34%)，网络安全团队正忙于保护这些系统：已有 34% 的企业遭遇过与 AI 相关的外泄事件。

报告中写道：“企业正快速部署 AI，但对风险所在及如何缓解风险的理解仍显不成熟。”

首先，安全团队担心的方向不对。他们专注于 AI 模型操纵等新兴威胁。但他们的注意力应该放在网络安全领域常见的问题上：未打补丁的软件、内部人员威胁、配置错误的设置以及薄弱的凭据身份验证。

报告中写道：“这种协同不足表明，许多安全计划仍将 AI 视为完全新颖的事物，而非将已验证的云安全与身份安全原则应用于这些新系统。”

^{（来源： 《2025 年云安全和 AI 安全现状》报告，由 Tenable 委托并与云安全联盟合作编写）}

其他薄弱环节：被动安全模式、技能差距

该报告还剖析了其他云安全和 AI 安全障碍，包括：

• 技能差距：约三分之一的受访者将专业知识匮乏列为他们面临的首要挑战，这导致了战略模糊不清、预算不足以及高管层对云风险的误解。
• 被动的安全态势：受访者最常跟踪的关键绩效指标 (KPI) 是安全事件的发生频率和严重性 (43%)。这表明采取的是一种事后回顾的方法，将危机应对置于主动降低风险之前。这是一种错误的策略，因为大多数云与 AI 外泄事件是可以预防的。

我们该如何解决这些问题？

该报告为负责云安全和 AI 安全的团队敲响了警钟，敦促他们进行战略转型，摆脱碎片化的工具、不成熟的身份管理实践和被动的思维模式。

已经有一些受访者朝着正确的方向采取了措施，例如，采用暴露风险管理 (58%) 来进行统一的安全监控和风险优先级分析；以及采用云安全态势管理 (57%)。

^{（来源： 《2025 年云安全和 AI 安全现状》报告，由 Tenable 委托并与云安全联盟合作编写）}

该报告的建议包括：

• 所有内容形成单一视图：集成的可见性和控制措施是管理本地、云和 AI 工作负载复杂性的基础。
• 强化身份安全：加强针对所有需要访问权限的人员与非人员身份的身份治理体系。
• 注重预防，而非仅仅被动应对：从被动安全转向主动安全是应对不断演变的威胁的关键。

报告中写道：“安全能力成熟度取决于战略协同与风险驱动的规划。那些跳出“单点解决方案”局限、摆脱被动运营模式的企业，将更有能力为不断演变的云与 AI 环境提供安全保障。”

要获取所有 AI 安全和云安全洞察，请立即下载《2025 年云安全和 AI 安全现状》报告！