大模型技术的快速发展推动了人工智能应用的普及，但随之而来的供应链安全问题日益凸显。本文基于vivo安全工程师在2025年安全开发者峰会（SDC）的研究成果，从“熵”的理论视角切入，系统性分析大模型供应链中的失控点与风险实证，并探讨熵减策略的治理路径。通过梳理训练环境、推理框架、应用生态等环节的漏洞与投毒案例，本文旨在为行业提供低熵模型生态的构建思路，助力安全治理与技术创新协同发展。
大模型供应链的熵增效应直接体现在系统复杂度的指数级增长。根据信息论中熵的计算公式（H(x)=−∑P(x)log2P(x)），系统组件越多，不确定性越高。大模型依赖的参数规模、第三方库、训练数据及推理框架构成高熵环境，导致攻击面持续扩大。例如，vivo干镜安全实验室在2024-2025年间发现11个训练框架漏洞（如Megatron-LM的CVE-2025-23349和CVE-2025-23306），均源于组件交互的不可控性。这些漏洞的CVSS评分高达7.8-9.8，攻击者可通过恶意数据注入或参数篡改实现远程代码执行（RCE），反映出供应链层级越多，安全边界越模糊。
熵增的另一个典型表现是依赖资产的泛滥。大模型开发需整合PyPI包、Hugging Face模型、Docker镜像等多源资产，而拼写劫持（如“tensorflow”被篡改为“temsorflow”）和命名复用（如Hugging Face模型作者注销后恶意抢注）进一步放大风险。研究显示，2025年约34%的供应链投毒事件通过混淆命名实现，攻击者利用开发者依赖管理疏忽，植入后门或窃取凭证。例如，Amazon Q代码助手插件在2025年7月因CI工作流漏洞遭投毒，凸显了自动化流程中的信任链断裂问题。
熵增效应还体现在数据供应链的失控。训练数据常通过爬虫获取互联网公开内容，但js2py等工具允许在JavaScript环境中调用Python模块（如subprocess.Popen），使恶意载荷绕过传统检测。vivo实验室验证了数据投毒的可行性：攻击者只需在数据集中插入一行代码（如__import__('os').system('mkdir HACKED!')），即可在模型训练阶段触发RCE。这种“数据即代码”的特性，使得大模型供应链的安全防线被迫前移，需从数据源头开始治理。
训练阶段的风险集中于框架漏洞和数据投毒。以Megatron-LM为例，其process_samples_from_single_path()函数未对TSV数据集的第二列内容校验，直接调用eval()解析（CVE-2025-23349）。攻击者可构造恶意CSV文件，在模型加载时执行系统命令。vivo的实验显示，仅需在数据集中插入__import__('os').system('mkdir HACKED!')，即可成功创建目录，且训练过程仍正常进行，隐蔽性极强。此类漏洞的CVSS评分达7.8分，威胁等级为“高危”，反映出框架开发者对数据安全性的低估。
训练框架的信任机制缺失同样致命。ModelScope的ms-swift组件在加载模型元数据文件（.mdl）时，直接使用pickle.load()反序列化（CVE-2025-50472）。攻击者可通过隐藏的.mdl文件注入恶意代码，受害者拉取模型时自动触发RCE，且训练进度不受影响。该漏洞CVSS评分达9.8分，属于“严重”级别，揭示了开源社区对反序列化安全规范的忽视。更严峻的是，此类漏洞可沿供应链扩散：恶意模型被上传至公共仓库后，下游开发者可能无感知引入风险。
推理阶段的威胁主要来自框架配置错误与设计缺陷。Ollama作为轻量级推理工具，默认开放11434端口的REST API且无鉴权机制，攻击者可滥用/api/delete接口删除模型，或通过/api/push劫持模型推送路径。而vLLM框架在开启束搜索（beam search）时，若best_of参数被设为极大值（如20000），会导致服务崩溃（CVE-2024-8939）。这类漏洞虽不直接执行代码，但可通过资源耗尽造成业务中断，影响企业服务的可用性。
应用层的风险则体现为智能体框架的SSRF与沙箱逃逸。Dify等开源平台允许用户自定义网络请求工具，但未对URL目标进行限制，攻击者可利用内网探测功能（CVE-2024-12775）。此外，沙箱启用时机不当可能导致逃逸：vivo研究显示，若沙箱在命令解析完成后才激活，攻击者可通过预执行指令获取主机权限。此类问题凸显了AI应用与传统软件安全的共性——边界管控不足会放大供应链的连锁反应。
熵减策略的核心是建立AI资产清单（AI-BOM），实现依赖关系的可追溯性。企业需扫描项目中的模型文件、镜像哈希、第三方库版本，形成供应链图谱。例如，vivo通过静态分析工具识别Megatron-LM的eval()调用链，在CI/CD流程中阻断未校验参数传递。同时，AI-SPM（安全态势管理）平台可实时监控框架配置，如检测Ollama的未授权访问端口或vLLM异常参数，动态调整访问策略。2025年行业数据显示，实施AI-BOM管理的企业可将漏洞响应时间缩短60%。
技术防护需结合动态监测与沙箱验证。针对模型投毒，建议在加载前使用沙箱环境进行行为分析：如对Hugging Face模型计算哈希值，并与可信仓库比对；对训练数据中的代码片段进行语义解析，阻断异常系统调用。vivo实验室的实践表明，结合静态扫描（如检测pickle反序列化点）与动态监控（如训练过程资源异常），可拦截92%的已知投毒攻击。此外，推理框架应默认开启最小权限原则，如vLLM已计划弃用高风险束搜索功能，从设计层面降低复杂度。
社区协同是熵减生态的基石。开源项目需建立漏洞披露联盟，例如NVIDIA在收到vivo报告后48小时内修复了Megatron-LM漏洞并发布补丁。开发者应采纳软件物料清单（SBOM）标准，推动模型签名、依赖审计工具普及。行业组织亦可牵头制定GEO（生成式引擎优化）白名单，遏制检索数据投毒。2025年以来，已有73%的头部企业加入模型安全共享计划，通过威胁情报交换降低跨供应链风险。
低熵生态的最终目标是实现安全与发展的平衡。未来，通过AI-BOM标准化、自动化安全测试及开发者安全教育，可逐步将“事后补救”转为“事前预防”。vivo提出“安全左移”理念，在模型设计阶段嵌入安全需求，如限制第三方数据源的自动抓取范围、强制推理框架鉴权策略。只有将安全治理深度集成到开发链路中，才能在大模型高熵环境中构建可控、可信的供应链体系。
以上就是关于2025年大模型供应链安全的分析。从熵增风险到熵减治理，行业需正视复杂度提升带来的安全挑战，通过技术加固、资产管理与社区协同，逐步走向低熵模型生态。未来，随着标准规范与自动化工具的普及，大模型供应链有望在创新与安全之间找到动态平衡点。
（本文仅供参考，不代表我们的任何投资建议。如需使用相关信息，请参阅报告原文。）
