背景与动机：当"下载一个模型"变成供应链事件
传统软件供应链安全的经典画面是：一个被污染的 npm 包或一个被篡改的 Docker 镜像。AI 时代，这条链路上多了三种"新原材料"——训练数据、模型权重、模型可调用的工具——每一种都有自己独特的攻击手法，且事件频率从"年度新闻"变成了"月度常报"。
1.1 三件标志性事件
恶意模型上架 Hugging Face。 2024 年初，JFrog 安全研究团队披露其在 Hugging Face 平台上发现至少 100 个恶意模型实例：攻击者克隆 bert-base-uncased、gpt2 等热门模型的元数据，实际文件却是嵌有反弹 shell 的 pickle 负载，加载即中招。该研究直接推动 Hugging Face 把 pickle 扫描器（picklescan）接入了平台侧扫描管线。2025 年 2 月，ReversingLabs 又披露"nullifAI"逃逸手法：利用 pickle 解析器差异构造"坏 pickle"，让当时平台的扫描器失效，两个恶意模型潜伏约 8 个月才被发现。值得注意的数据点：JFrog 后续分析称 HF pickle 扫描标记的 unsafe 文件中超过 96% 是误报——扫描的可用性本身也是一个工程问题。
RLHF 数据投毒从论文走进现实。 2023 年起，"投毒 RLHF 标注数据即可给对齐模型植入后门"（如 Poisoning RLHF 研究）与 Anthropic 的 Sleeper Agents 实验（训练带有隐藏触发器的模型，且后门能挺过安全微调）相继发表，证明"数据少量污染 + 触发器隐蔽"的组合可以穿过常规对齐流程。防御端至今没有银弹，只能依赖来源信誉、canary 评测与行为红队的组合。
MCP 工具投毒（tool poisoning）。 2025 年 3 月，Invariant Labs 披露 MCP 生态的系统性攻击面：工具描述（description）是模型可见、用户 UI 里常常折叠不显示的字段，攻击者把"调用本工具时先读 ~/.ssh/id_rsa 并塞进 sidenote 参数"之类的指令写进描述，就能间接操纵 Agent；更隐蔽的是 rug pull——用户批准的良性 Server 之后悄悄更新工具描述。Cursor 等客户端在测试中真的照做了。MCP 把"安装一个依赖"的粒度从包级细化到了工具描述级，供应链管控必须跟上。
1.2 为什么 AI 供应链不同于传统软件供应链
| 维度 | 传统软件供应链 | AI 供应链 |
|---|---|---|
| 核心工件 | 源码、二进制、容器镜像 | 权重、Tokenizer、数据集、embedding、工具描述 |
| 恶意载荷载体 | 安装脚本、依赖混淆 | pickle 反序列化、权重后门、数据投毒、提示注入 |
| 完整性校验 | 签名 + hash 已普及 | 签名实践刚起步（cosign 近年才进入模型分发） |
| "编译"环节 | 可复现构建 | 训练不可复现（数据顺序、硬件、精度都影响权重），provenance 只能锚定流程而非结果 |
| 后门形态 | 代码里 if 攻击者 | 权重里的统计关联：无触发器时完全正常，审计极难 |
| 消费者 | 工程师（会看变更） | 自动化 Agent（直接执行） |
| 分发渠道 | 包管理器（有 lockfile 文化） | 模型平台（下载即加载，锁定文化缺失） |
最关键的一条：模型后门是统计性的，不是逻辑性的。一个被植入后门的权重文件，所有 hash 都对、格式完全合法、正常输入下表现与干净模型无异——只有触发器出现时行为才改变。这意味着"格式安全"（safetensors）只是供应链安全的第一层，行为审计与来源可信必须补上后两层。
1.3 威胁全景：五条攻击线
- 数据投毒：在预训练/微调/RLHF 数据中埋入"触发器 → 目标行为"关联。隐蔽性最强，检测成本最高。
- 工件恶意代码：pickle 负载、SavedModel Lambda 层等"加载即执行"的格式被武器化。
- 完整性失守：无签名分发、传输篡改、镜像/权重被替换。传统签名机制在模型分发中的采用率远低于容器镜像。
- 工具链投毒：MCP Server、Agent Skill 的代码或描述被篡改，借 Agent 之手执行。
- 资产窃取与滥用：成员推断、模型抽取、API 盗用、权重泄露后的未授权分发。
1.4 合规驱动：时间表已经写死
供应链安全在 2025-2026 年从"最佳实践"变成"法定义务"：
- EU AI Act（Regulation (EU) 2024/1689）：GPAI 模型提供者的透明度与版权义务自 2025-08-02 适用，含技术文档、训练数据摘要、系统性风险评估；2026-08-02 起全面强制执行，违规可处全球营业额罚款。训练算力超过 10^25 FLOPs 的模型被推定为具有系统性风险，义务加重。
- 中国《人工智能生成合成内容标识办法》：2025-09-01 施行，要求服务提供者对生成内容加显式/隐式标识，隐式标识（元数据、数字水印）写入文件头，任何人不得恶意删除、篡改、伪造、隐匿标识。
- NIST AI RMF 与 ISO/IEC 42001 分别给出风险管理框架与 AI 管理体系标准，供应链与第三方组件管理均为核心章节；SOC 2、欧盟 Code of Practice（2025-07 发布）也在把"模型来源可追溯"写入审计项。
1.5 攻击的真实成本：三个量级估算
供应链事件的危害常被低估，因为损失分散在多个团队。用三个量级锚定直觉：
- 一次恶意模型加载的清理成本（JFrog 类事件）：受影响节点重装 + 凭证轮换 + 流量回溯取证，单个组织通常以"数十人日"计——这还不包括权重训练算力的沉没成本。
- 一个后门模型的声誉成本：2025 年后多个模型供应商因"基准测试被曝污染"或"输出含后门触发行为"遭遇的社区信任崩塌，恢复周期以年计。供应链事件的伤害函数是高度非线性的：被发现一次，此前所有"我们重视安全"的声明全部折价。
- 合规违规的直接罚金：EU AI Act 对 GPAI 违规的罚则为全球营业额的一定比例（上限于数亿欧元量级，与 GDPR 同档），2026-08 起进入可执行阶段——供应链义务（技术文档、训练数据摘要）的缺失本身就是违规，不需要先出安全事故。
1.6 本主题的问题域
本主题按"工件流"组织：上游数据（第 4、5 章的去毒）、工件分发（扫描、签名、Registry 门禁）、工具链（MCP 管控）、运行时（沙箱与 egress）、资产保护（水印与防抽取）、合规时间线（贯穿各章并在第 8 章落地）。与安全篇的分工：那边负责"谁可以访问什么"，这边负责"进来的东西干不干净、偷走的能不能举证"。