提醒：AI还没正式上线，已经被人全网扫描

企业的AI应用可能还在测试攻击者却已经开始批量寻找公网中的模型接口、MCP服务和访问凭证。近期一台没有部署MCP服务和本地大模型的普通网站服务器在连续14天内仍收到接近200次AI相关探测。这不是针对某家企业的定向攻击而是一场自动化、无差别的全网资产摸排。企业可能还不知道自己暴露了什么攻击者已经开始为AI资产建立清单。14天近200次AI资产已成为新的扫描目标监测数据显示除了传统Web漏洞探测这台服务器还持续收到针对AI接口、MCP服务和访问凭证的扫描。其中MCP探测出现55次来自49个不同IP。MCP可以理解为连接AI与企业数据、系统和工具的一类通用接口。一旦对公网暴露又缺少身份认证和权限控制就可能成为攻击者进一步探测企业资源的入口。这些数据只来自一台服务器不能代表整个互联网的攻击排名。但它说明了一件事AI接口、身份凭证和高权限工具正在成为自动化扫描的新目标。很多企业认为AI项目尚未正式上线就暂时不存在AI安全风险。现实可能恰恰相反开发环境、测试接口和遗留配置往往比正式生产系统更容易暴露。攻击者主要在找三类东西找接口寻找能够从公网直接访问的AI服务、MCP接口、管理后台和测试端口。找凭证尝试获取API Key、Token、配置文件和云平台访问身份。找权限判断AI连接了哪些数据和系统能否读取文件、调用工具或执行任务。攻击者寻找的不只是一个有漏洞的网页而可能是一个进入企业数据和业务系统的入口。一个AI接口暴露可能带来什么AI正在从“回答问题”走向“连接系统并执行任务”。当AI开始连接客户数据、财务系统和核心业务工具后一个接口暴露可能形成这样的风险链接口暴露 → 凭证泄露 → 权限被滥用 → 数据外泄或异常操作 → 业务与合规风险更值得企业老板关注的是攻击者获得的可能不只是数据访问权还可能是代替企业执行操作的权限。AI Agent不仅能生成内容还可能读取文件、调用工具、操作数据库、访问云资源和执行系统命令风险已经从传统的数据泄露延伸到整个执行链路。AI没有正式上线也可能已经暴露企业的AI风险可能隐藏在临时开放的开发和测试接口忘记关闭的模型服务或MCP端口遗留的配置文件和备份文件写在代码或日志中的访问密钥缺少身份认证的AI接口权限过高的服务账号。收到扫描并不等于已经被攻破。但一旦接口返回有效信息就可能从普通扫描目标变成后续凭证窃取、漏洞利用和权限滥用的重点对象。CIO和企业管理者需要确认三个问题哪些AI资产已经暴露不仅要检查正式生产系统也要覆盖开发环境、测试服务器、历史域名、临时端口和远程MCP服务。AI拥有什么权限需要明确AI能够访问哪些数据、连接哪些系统、调用哪些工具相关密钥和服务账号是否遵循最小权限。出现异常后是否有人持续跟进企业需要从大量扫描和访问告警中识别真实暴露与高危行为并持续推动修复和结果复核。如果告警很多却没有人判断和处置真正的风险仍可能被淹没。AI建设安全不能等到上线后再补AI安全不能只依靠项目上线前的一次检查。当AI开始连接企业系统、访问数据并执行任务后企业需要从资产、身份、权限、行为和持续运营五个方面同步建立安全能力。企业不仅要知道AI能做什么更需要知道它正在访问什么、执行什么以及是否在安全地执行。观点将网络安全、AI智能体治理与NSCOC持续运营相结合帮助企业发现公网暴露的AI资产把分散的扫描和访问告警转化为可判断、可响应、可跟进的风险事件降低AI接口、访问凭证和高权限工具被滥用的可能。AI创新可以很快但安全不能只靠开发人员的一次配置也不能只靠上线前的一次检查。结语攻击者已经开始绘制企业的AI资产地图。企业现在需要确认的不只是“有没有使用AI”而是哪些AI资产已经暴露它们连接了什么数据和系统一旦出现异常企业能否及时发现并控制风险企业不能比攻击者更晚看见自己的AI风险。