谷歌也在摸着石头过河：AI安全的真实困境
上周在洛杉矶的一场活动后台，谷歌云首席运营官Francis de Souza跟我聊了二十多分钟AI安全。他的语气很稳，像大学教授讲课那种感觉，说现在大家都在”实时摸索”AI安全规范，谷歌自己也不例外。
这话听起来有点反直觉。谷歌可是全球最顶尖的AI公司之一，它居然也在”摸索”？
“影子AI”正在悄悄蔓延
de Souza反复强调一个观点：安全不能是事后补救。很多公司引入AI工具的时候，先上线再说，安全配置留到后面再搞——这基本上是把门打开再想着装锁。
他特别提到了”影子AI”的风险。这个词听起来有点吓人，其实说的就是员工私下用消费级AI工具，比如拿ChatGPT处理公司机密文档，或者用了某个AI插件但公司根本不知道。这种行为没有组织监督，数据流向完全不可控。
“不存在没有数据战略和安全战略的AI战略，这三者必须齐头并进。”——Francis de Souza，谷歌云首席运营官
智能体发现了被遗忘的数据库
这篇文章里有个细节让我印象深刻。de Souza说，在企业内部系统中自主移动的AI智能体，可能会发现多年前就被遗忘的数据存储库。
很多组织有旧的SharePoint服务器和访问控制机制，很久没更新了，以前这没什么大不了的，因为根本没人知道那些数据在哪。但AI智能体在企业里”漫游”的时候，会找到这些被遗忘的数据资产，然后——把数据暴露出来。
这本质上是一种新型的攻击面。传统的网络安全防御模型是针对人类黑客设计的，但AI智能体的行为模式完全不同，它们有能力访问人类可能不会去碰的数据角落。
谷歌自己的漏洞呢？
有意思的是，就在de Souza讲这番话的同时，《The Register》连续报道了谷歌云的一连串安全问题。
事情是这样的：很多开发者把谷歌地图的API密钥放在公开代码里（按照谷歌自己的文档说明做的），以前这些密钥只能访问地图服务，所以泄露了也没什么大不了。但谷歌悄悄扩大了这些密钥的权限范围，让它们也能调用Gemini模型——而且没有清楚地告知开发者这个变化。
结果就是：攻击者在30分钟内让一家面试准备平台CEO的谷歌云账单飙到了10138美元。另一个澳大利亚开发者的账户被刷了约17000澳元。
更离谱的是，谷歌的自动系统会根据账户历史记录”升级”计费等级， effectively把开发者的支出上限从他们设置的250美元提到了10万美元——而且没有明确要求同意。
密钥撤销要等23分钟
安全公司Aikido的研究发现，即使开发者发现了密钥泄露并立即删除它，攻击者在接下来的23分钟内仍然可以用这个密钥访问Gemini。因为谷歌的密钥撤销操作是在基础设施中”逐渐传播”的，不是即时生效的。
研究人员指出，谷歌云较新的凭证格式（服务账户API凭证）撤销时间约为5秒，Gemini较新的AQ前缀密钥格式约为1分钟。技术上完全可以做到更快，23分钟的窗口期不是一个工程限制问题，而是一个公司优先级的问题。
读完de Souza的那番话再来看这些报道，感觉有点微妙。他说的是对的，企业确实需要把安全放在前面，而不是事后补救。但平台自己提出的建议，和它们自己适应这些建议的速度之间，存在着一个不小的差距。
领英首席信息安全官Lea Kissner本周对《纽约时报》说，她预计这个行业至少需要几年时间，才能以任何可持续的长期方式理解AI安全。这几年里，企业和平台都在同一条船上，大家一起摸着石头过河。
