Black Kite《2026 年 AI 供应链报告：AI 合作关系背后的风险》

Black Kite 的 《2026 年 AI 供应链报告：AI 合作关系背后的风险》发现，提供先进 AI 的企业往往也存在常见的网络安全弱点。该报告对 18,160 家 AI 企业进行了外部评估，发现受调查机构中有 34.2% 存在严重且尚未修补的漏洞，而存在电子邮件身份验证弱点的机构比例更高。

报告的核心观点是，采购 AI 带来的不只是软件层面的合作关系。客户也会承受供应商基础设施、其产品所依赖的组件，以及授予其集成服务的权限所带来的风险。随着 AI 工具逐渐能够在业务系统中执行操作，这些合作关系也应像其他关键供应商关系一样受到严格审查。

“AI 供应链的问题并非出在什么离奇的地方，而是出在常见环节，”Black Kite 首席研究与情报官 Ferhat Dikbiyik 表示。报告的发现将修补漏洞、保护凭证和管理集成访问权限置于讨论的核心。

大量 AI 供应商普遍存在的基础安全漏洞

Black Kite 根据商业企业数据库建立了研究样本，随后审查企业介绍和公开网站，以确认 AI 是否是各公司产品或服务的核心。该公司层面的安全观察基于 2026 年 9 月和 10 月的数据。

评估发现：

• 34.2%的企业至少存在一个通过外部观察发现的严重未修补漏洞。
• 9.8%的企业存在被列入 CISA《已知遭利用漏洞目录》的漏洞。
• 61.7%的企业存在 DMARC 弱点；存在 DKIM 和 SPF 弱点的企业比例则分别为 37.3% 和 11.2%。
• 29.7%的企业在 Black Kite 的勒索软件易受攻击指数中达到或超过 0.4，即该公司设定的严重风险阈值。
• 6.8%的企业，其相关企业登录信息出现在信息窃取恶意软件收集的记录中。

这些指标回答的是不同问题。被列入 KEV 的漏洞，有在世界某处遭到利用的记录；但存在此类漏洞，并不能证明本研究中的供应商曾遭受攻击。同样，勒索软件易受攻击评分是用于确定审查优先级的指标，并不代表某家公司遭受勒索软件攻击的概率。

电子邮件身份验证之所以重要，是因为 AI 供应商仍在使用常规企业域名并开展日常业务流程。即使 AI 产品本身技术先进，身份验证措施缺失或执行不力，也会让他人更容易冒充域名。DMARC、DKIM 和 SPF 的数据彼此重叠，不应相加。

供应商承担的角色比 AI 品牌标签更重要

报告将这一生态系统划分为六大活动类别。基础技术——包括模型、计算基础设施和数据服务——约占样本总数的 10%。日常业务应用约占 31%；为其他组织开发并部署 AI 的公司则约占 23%。

这有助于解释，为什么只关注知名模型供应商会忽视企业风险敞口中的很大一部分。系统集成商、云服务提供商、数据处理商和客户服务平台，都可能直接接触客户的系统和信息。

这些角色所涉及的凭证问题尤为突出。Black Kite 发现，云 AI 解决方案提供商中有 19.9% 的企业登录信息出现在信息窃取恶意软件的记录中；相比之下，模型和平台开发商的这一比例为 4.1%。数据和标注公司为 13.9%，客户服务平台为 11.5%。

值得关注的是，如果这些凭证仍然有效，它们可能会开放哪些访问权限；这并不意味着每个泄露的登录信息都已被使用。供应商审查需要结合正在采购的服务来评估相关发现：用于无关业务工具的凭证，与能够访问面向客户的生产环境的凭证，可能造成截然不同的后果。

AI 供应商自身也有依赖项

报告还深入考察了 AI 产品底层的软件组件。Black Kite 发现，有 105 家 AI 企业存在与 n8n、Langflow 或 LiteLLM 相关的问题；这些工具可能位于模型、工作流和互联服务之间。

即使供应商名册看起来足够多元，共用依赖项仍可能造成集中风险。多项分别采购的 AI 服务，可能依赖同一个工作流平台、模型路由器、软件库或云基础设施。因此，这些共同层面的安全问题可能需要在多个供应商合作关系中协调应对。

实际问题在于，供应商能否识别受影响的组件、确定哪些环境正在使用该组件，并及时修复或隔离问题。客户还需要了解该组件持有哪些凭证和权限，因为当软件暴露问题可能成为进入其他系统的途径时，其后果会更加严重。

MCP 调查结果凸显集成权限的重要性

Black Kite 另行检查了 305 条可公开发现、归属于 179 家 AI 公司的模型上下文协议（MCP）服务器条目。在这些条目中，记录了 1,732 项发现，其中 48.8% 被评为高危或严重。在 77 项严重级别的发现中，87% 涉及代码注入或命令注入。

MCP 为 AI 应用提供了连接工具和数据源的标准化接口。根据具体实现方式，已连接的服务器可以开放多种功能，例如读取文档、查询数据库、更新记录或执行其他操作。因此，权限广泛的脆弱组件可能使风险波及 AI 应用本身以外的部分。

分母很重要：48.8% 指的是记录到的发现，而不是所有 AI 公司或生产环境中的 MCP 部署里存在漏洞的比例。该数据集涵盖可公开发现的代码库、软件包和托管组件；域名归属并不能证明这些组件正在生产环境中运行，而私有 MCP 环境不在分析范围内。

对企业团队而言，这意味着要盘点各项连接，将权限限制在完成所需工作所必需的范围内，并测试撤销访问权限的速度。仅凭对供应商的外部观察，无法了解客户在自身环境中授予的所有权限。

如何解读这些发现而不过度推断

这项研究是在外部开展的，研究人员无法访问受评估公司的系统。严重漏洞方面的发现通常是将观察到的软件版本与已披露的漏洞进行匹配；Black Kite 并未测试漏洞能否被利用。报告称，6.5% 的公司出现了与僵尸网络相关的信号，44.3% 的公司出现了异常网络活动；这些情况值得调查，但单凭它们并不能证明系统已遭入侵。

可见性也会影响比较结果。在作为补充分析的 Forbes AI 50 企业群体中，52% 存在严重漏洞方面的发现，28% 的企业有相关凭证出现在信息窃取恶意软件记录中。数字足迹越大，发现问题的机会就越多，因此不应将这些数字简单视为不同类型公司安全程度的排名。

Black Kite 销售第三方网络风险情报与监控服务，包括供应商暴露面分析和勒索软件易受攻击指标。该报告是由供应商开展的研究，明确说明了研究对象范围和方法；它既不是对所有 AI 公司的普查，也不能证明所有被标记的系统都已遭到入侵。

最重要的运营启示是，应将三项相互关联的因素放在一起评估：供应商、其依赖项，以及其产品获得的访问权限。完整的 2026 年 AI 供应链报告：AI 合作关系背后的风险详细介绍了 Black Kite 的研究发现和方法，说明如何将这一做法应用于 AI 供应商审查。