从恶意调用到模型攻击：Akamai如何守护中国AI企业出海

对部分中国AI企业而言，全球化已经写进产品的起点。团队在中国研发，通过API、SaaS应用和开源模型生态连接海外开发者与用户，产品上线便进入多个市场。这种Born-Global模式缩短了技术能力与全球需求之间的距离，也让企业从第一天起就面对分布在不同地区、使用不同语言的攻击者。

AI业务的特殊之处在于，一次交互背后可能同时发生模型推理、知识检索和工具调用。恶意流量进入系统后，既可能带走数据，也可能持续消耗GPU和Token预算。服务保持在线、接口返回正常，并不足以说明业务安全：攻击完全可能隐藏在一连串看似成功的请求中。

从恶意调用到模型攻击：Akamai如何守护中国AI企业出海-RadeBit瑞安全

Akamai北亚区技术总监刘烨

在Akamai北亚区技术总监刘烨看来，面向全球市场的AI企业需要从产品第一天就把安全嵌入架构，在上游和边缘尽早拦截攻击，并让防护能力与推理算力协同。围绕这一思路，Akamai将Bot管理、API安全、AI防火墙与基础设施隔离连接起来，保护对象也从外部流量延伸到模型交互和内部工作负载。

一、AI Bot正在改写模型服务的成本结构

自动化访问的规模和能力正在变化，Web类和API类AI Bot流量在过去一年的统计周期内均增长超过100%，部分超过200%，高科技、商贸、金融和数字媒体等行业都受到影响。从2018年以简单脚本为代表的Bot，到2025年能够自主规划、连续调用工具的智能体，自动化访问也从批量抓取延伸到了更复杂的业务交互。

这种变化直接影响模型服务的成本。一次短问答与一次长上下文、多轮工具调用任务，即使都计为一个请求，消耗的算力也可能相差很大。恶意Bot可以分散账号和来源，低频触发昂贵推理，使单纯按请求数限速难以控制实际开销。对中国AI出海企业而言，这既会消耗海外推理资源、侵蚀API营收，也可能伴随训练数据集和模型输出被非法抓取。这类无界消耗已被OWASP纳入大模型应用安全风险。

防护因此需要先区分访问的性质。Akamai把Bot识别放到边缘入口，Bot Manager等能力基于成熟检测模型，结合来源、请求特征和访问行为对自动化流量分类，再由业务策略决定放行、限制或拦截。能够在入口确认的恶意抓取和异常调用，可以提前处置，减少后端承担的无效推理。

对于符合访问规则的Bot，识别身份也为授权收费提供了条件。Akamai与Skyfire等第三方合作，通过可验证的智能体身份，支持按请求量计费的内容访问模式，把部分抓取流量纳入可管理的商业关系。身份、内容授权和付费资格仍需分别校验，已知身份并不意味着可以无限调用。

身份识别之后，还需把调用权限落实到资源预算。业务网关应按租户和密钥约束并发、输入输出长度及工具调用次数，并为并发任务预占额度、结束后结算。边缘识别与业务计量由此衔接起来，防止大量格式正常的请求持续透支算力。

二、API和MCP把风险带入业务核心

当请求通过API进入业务，安全检查还要回答它能够访问什么。API承载着模型调用、文件上传、知识检索和任务结果，是中国AI企业面向全球客户的主要交付入口。移动互联网曾带来第一波API增长，大模型正在形成第二波动力，预计2026年API流量继续增长约30%。

调用增多的同时，快速迭代也会留下测试接口、旧版本服务和未纳管连接器。全球开放的API要面对更广泛来源的匿名扫描与枚举，跨时区运维又可能延长这些接口的暴露时间。攻击准备可以很短：先发现暴露的API，再枚举端点或资源编号，便可尝试认证绕过、垂直越权或水平越权。例如，只需替换文件编号就能读取其他租户资料，暴露的便是对象级授权缺陷。攻击者即使使用真实凭证、提交格式正确的请求，也可能利用服务端缺失的资源归属校验取得数据。扫描和枚举帮助寻找入口，认证、授权或业务逻辑缺口才是攻击成立的条件。

要修复这类缺口，团队首先需要知道有哪些API、由谁维护、正在如何被使用。Akamai先后于2023年和2024年收购Neosec与Noname Security，并在2025年继续将相关技术融入API安全体系。其API Security通过持续发现和运行时分析建立资产视图，安全态势中心再用统一仪表盘追踪违反API政策的主机和应用，将认证、数据保护等问题落实到具体控制项，帮助研发团队确定修复对象。

随着智能体开始调用工具，资产发现还需要覆盖模型上下文协议MCP。未纳管的MCP服务可能暴露数据库查询、文件读取等能力。Akamai能够自动发现这类服务，并通过App & API Protector的WAF防护检查经HTTP暴露的MCP流量，缓解命令注入、SQL注入等攻击，减少工具接口成为数据泄露入口的机会。这些检查还须与执行端权限配合。智能体持有服务凭证，不代表它可以代替所有用户执行所有动作。用户身份、租户范围与工具授权应传递到执行端，每次访问校验资源归属，并区分查询、修改和删除权限。模型即使受到诱导，实际操作仍要经过业务系统的授权检查。

三、模型输入输出需要独立的安全防线

接口鉴权解决了谁能调用、能够操作哪些资源的问题，模型如何理解请求还需要另一层检查。攻击者可以把操作指令混入提问、上传文件或检索内容，诱使模型把外部材料当成任务指令，继而偏离用户本意。这就是提示词注入的典型机制，也是OWASP大模型应用十大安全风险之一。请求本身可能没有恶意代码，接口格式也完全正常。

聊天机器人和客服系统很难预先限定用户意图。当同一应用面向多个国家时，诱导指令又可能以不同语言、混合表达或连续追问的方式出现，增加检测难度。一旦模型未经授权把检索到的个人信息写入回答，风险就从输入端传到了输出端。对于受GDPR及各地个人信息保护规则约束的业务，这类泄露还可能触发监管调查、整改和处罚。

因此，防护需要覆盖送入模型的内容和准备交付的结果。Akamai于2025年推出Firewall for AI，在应用与模型之间的交互链路上提供输入、输出双向检查：输入侧识别提示词注入、越狱等风险，输出侧检查敏感信息和违反内容策略的响应，以降低诱导取数与信息泄露的风险。

这层检查与后端采用哪个大模型无关，可在边缘或通过API集成。企业切换模型时，能够继续使用相对统一的外围防护策略，减少重复建设。Firewall for AI承接了Akamai全球云WAF和Bot管理平台的技术积累，并已获得客户积极反馈。

实际部署中，检查范围需要覆盖进入模型的不可信内容。采用检索增强生成的应用，除了用户问题，还会把知识库片段和工具结果放入上下文，这些内容同样可能夹带恶意指令。企业需要将其一并纳入检测，并在检索阶段执行租户和文档权限过滤，避免把无权访问的资料交给模型。

模型生成结果之后，控制方式取决于结果的去向。返回用户的文字需要检查敏感信息；交给工具的结构化指令则要验证参数、目标资源与操作权限。流式响应还需处理检测时机：已发送的敏感片段无法撤回，先缓冲后检查又会增加首Token延迟。

企业因此需要结合业务敏感程度选择缓冲或分块检查，并用目标市场语言、长文档和多轮诱导验证误报与漏报。将检测效果与交互时延一同验收，才能判断防护是否适合实际业务。

四、让全球推理与安全防护协同运行

沿着这条请求链，Bot识别、API治理和模型交互检查分别承担不同职责，部署时则需要协同。刘烨强调在上游、在边缘拦截，目的就是把能够提前识别的攻击挡在模型和应用之前，减少后端损害与事后补救。对中国AI出海企业，这也意味着可以依托全球边缘网络就近处置攻击，减少在每个海外区域重复建设防护系统与安全团队的压力。从恶意调用到模型攻击：Akamai如何守护中国AI企业出海-RadeBit瑞安全

图1 AI应用逻辑控制点

这条处理链还可以与推理基础设施共同规划。Akamai Inference Cloud提供GPU等推理资源，通过分布式编排协调延迟、成本与性能；AI网关、边缘防护和Firewall for AI在请求到达相应环节时执行控制。客户由此能够在同一平台部署和保护AI，把全球推理调度、用量管理与安全事件关联起来，降低多区域运维复杂度。

平台能否服务全球业务，还取决于其地域覆盖。Akamai其网络覆盖约700座城市、130多个国家，并与约1200个网络伙伴互联，为兼顾成熟市场与新兴市场提供了接入基础。在运营方面，其CDN业务2025年全年无重大故障，2025年亚太区年收入首次突破10亿美元。

全球分布也为持续更新防护策略提供了流量观察基础。刘烨提出以“AI对AI”应对AI威胁，Akamai的AI驱动WAF检测便利用全球实时流量中的攻击模式发现异常、生成高置信度候选策略，再经过回测、误报检查、影子验证和分批发布。保留专家审核和异常回滚，能够在加快策略生成的同时，控制更新对正常业务的影响。

入口与模型交互受到保护之后，仍需考虑后端服务失陷的情况。批量抓取模型输出可以通过滥用检测处理，权重文件被窃取则涉及存储凭证和内部网络权限。Akamai Guardicore Segmentation细化工作负载间通信，限制攻击者横向移动；与NVIDIA推进的BlueField DPU微分段集成，则将策略执行进一步下沉到基础设施数据路径。防护由此延伸到硬件、软件和网络，并用AI辅助威胁发现与策略优化。

企业落地这些能力时，还应明确各区域的数据处理位置、提示词和日志保留期限，以及缓存的租户隔离规则。异常推理费用、敏感数据暴露、误拦率和安全检查引入的尾部延迟，可以共同衡量这套体系是否在保护业务的同时保持了交付效率。